Oracle® Fusion Middleware Oracle Identity Managerユーザーズ・ガイド

11gリリース2 (11.1.2.1.0)

B69542-04(原本部品番号:E27151-06)

目次

図一覧

表一覧

タイトルおよび著作権情報

はじめに

- 対象読者

- ドキュメントのアクセシビリティについて

- 関連ドキュメント

- 表記規則

第I部 概念

1 機能の概要

- 1.1 Oracle Identity Managerの機能

- 1.1.1 ビジネス・ユーザーに使いやすい使用方法

- 1.1.2 ビジネスに使いやすいリクエスト・インタフェース

- 1.1.3 ビジネス・ユーザーに使いやすいリクエスト・トラッキング

- 1.1.4 セルフ・サービスおよび委任管理用の統合されたインタフェース

- 1.1.5 組織ごとのスコープ・セキュリティ

- 1.1.6 ビジネス・ユーザーに使いやすいパーソナライズ

- 1.1.7 ユーザー管理

- 1.1.8 パスワード管理

- 1.1.9 ユーザー・プロビジョニング

- 1.1.10 組織およびロール管理

2 Oracle Identity Self Serviceインタフェース

- 2.1 Oracle Identity Self Serviceへのログイン

- 2.2 Oracle Identity Self Serviceインタフェースの概要

- 2.2.1 リンク

- 2.2.1.1 アクセシビリティ

- 2.2.1.2 サンドボックス

- 2.2.1.3 カスタマイズ

- 2.2.1.4 ヘルプ

- 2.2.1.5 サインアウト

- 2.2.2 左右のペイン

- 2.2.2.1 ホーム

- 2.2.2.2 受信ボックス

- 2.2.2.3 プロファイル

- 2.2.2.4 リクエスト

- 2.2.2.5 証明

- 2.2.2.6 管理

第II部 Oracle Identity Managerユーザー・インタフェースの概要

3 セルフ・サービスへの登録

- 3.1 登録リクエストの送信

- 3.2 登録リクエストのトラッキング

4 Oracle Identity Self Serviceへのアクセス

- 4.1 Oracle Identity Self Serviceへの接続

- 4.2 ユーザー・ログインを忘れた場合の取得

- 4.3 忘れたパスワードのリセット

5 セルフ・サービスのパーソナライズ

- 5.1 「ホーム」ページのパーソナライズ

- 5.1.1 コンテナの追加

- 5.1.2 コンテナの編集

- 5.1.3 コンテナの削除

- 5.1.4 コンテナの移動

- 5.1.5 「ホーム」ページのレイアウトの変更

- 5.2 検索基準の属性の追加および削除

- 5.3 検索結果のパーソナライズ

- 5.4 保存された検索の使用

- 5.4.1 保存された検索の作成

- 5.4.2 保存された検索のパーソナライズ

- 5.4.3 保存された検索の削除

- 5.4.4 保存された検索を使用した検索操作の実行

- 5.5 検索結果のデータのソート

- 5.6 例による問合せの使用

6 プロファイル情報の管理

- 6.1 プロファイル属性の管理

- 6.2 パスワードの変更

- 6.3 チャレンジ質問および回答の設定

- 6.4 直属の部下の表示

- 6.4.1 直属の部下の表示と変更

- 6.5 プロキシの管理

- 6.5.1 プロキシの追加

- 6.5.2 プロキシの編集

- 6.5.3 プロキシの削除

7 アクセスの管理

- 7.1 ロールの管理

- 7.1.1 ロールのリクエスト

- 7.1.2 ロールの詳細の変更

- 7.1.3 ロールの削除

- 7.2 権限の管理

- 7.2.1 権限のリクエスト

- 7.2.2 権限の削除

- 7.3 アカウントの管理

- 7.3.1 アカウントのリクエスト

- 7.3.2 アカウントの変更

- 7.3.3 アカウントの削除

- 7.3.4 アカウントの無効化

- 7.3.5 アカウントの有効化

- 7.4 管理ロールの表示

8 アクセス・リクエスト・カタログの使用

- 8.1 アクセス・リクエスト・カタログでのカタログ項目の表示および変更

- 8.1.1 検索結果の絞込み

- 8.1.2 サポートされている検索演算子

- 8.2 カートに対するカタログ項目の追加および削除

9 リクエストの管理

- 9.1 リクエストのステージ

- 9.2 バルク・リクエストと子リクエスト

- 9.3 異種リクエスト

- 9.4 リクエストと直接的な操作

- 9.5 リクエスト・カテゴリ

- 9.6 リクエスト失敗の一般的な理由

- 9.7 リクエスト・プロファイル

- 9.7.1 リクエスト・プロファイルの作成

- 9.7.2 リクエスト・プロファイルの変更

- 9.7.3 リクエスト・プロファイルの削除

- 9.8 リクエストの作成

- 9.8.1 Oracle Identity Managerでの自身を登録するリクエストの作成

- 9.8.2 リクエスト・カタログの使用したリクエストの作成

- 9.8.3 リクエスト・プロファイルを使用したリクエストの作成

- 9.9 リクエストのトラッキング

- 9.10 リクエストの取消し

- 9.11 リクエストのクローズ

10 タスクの管理

- 10.1 統合された受信ボックスの使用方法

- 10.1.1 ビュー定義の作成

- 10.1.2 ユーザー・プリファレンスの編集

- 10.1.3 ビューの削除

- 10.1.4 タスク・チャートの編集

- 10.2 承認タスクの管理

- 10.2.1 承認タスクの表示

- 10.2.2 タスクの検索

- 10.2.2.1 タスクの単純検索の実行

- 10.2.2.2 タスクの拡張検索の実行

- 10.2.3 タスクの詳細の表示

- 10.2.4 コメントと添付ファイルの追加

- 10.2.5 タスクの承認

- 10.2.6 タスクの却下

- 10.2.7 タスクの再割当て

- 10.2.8 タスクの一時停止

- 10.2.9 タスクの取消し

- 10.3 証明レビュー・タスクの管理

- 10.3.1 証明の検索と表示

- 10.3.1.1 受信ボックスでの証明の検索

- 10.3.1.2 受信ボックスからの証明タスクへのアクセス

- 10.3.2 証明の完了

- 10.3.2.1 ユーザー証明の完了

- 10.3.2.2 ロール証明の完了

- 10.3.2.3 アプリケーション・インスタンス証明の完了

- 10.3.2.4 権限証明の完了

- 10.4 プロビジョニング・タスクの管理

- 10.4.1 プロビジョニング・タスクの検索

- 10.4.2 プロビジョニング・タスクの詳細の表示

- 10.4.3 タスクに対するレスポンスの設定

- 10.4.4 タスクへのメモの追加

- 10.4.5 タスクの再割当て

- 10.4.6 タスク割当て履歴の表示

- 10.4.7 フォームの詳細の表示

- 10.4.8 フォームの詳細の変更

- 10.4.9 タスクの再試行

- 10.4.10 手動によるタスクの完了

- 10.5 アテステーション・タスクの管理

- 10.5.1 アテステーション・タスクの検索

- 10.5.2 アテステーション・リクエスト詳細の表示

第III部 アイデンティティ管理

11 ユーザーの管理

- 11.1 ユーザー・ライフサイクル

- 11.1.1 OIMアカウント

- 11.1.2 組織

- 11.1.3 ロール

- 11.2 ユーザー・エンティティ定義

- 11.3 デフォルトのユーザー・アカウント

- 11.4 ユーザー管理タスク

- 11.4.1 ユーザーの検索

- 11.4.1.1 検索結果に対する操作

- 11.4.2 ユーザーの作成

- 11.4.3 ユーザーの詳細の表示

- 11.4.4 ユーザーの変更

- 11.4.4.1 ユーザー属性の編集

- 11.4.4.2 ロールの追加と削除

- 11.4.4.3 権限の追加および削除

- 11.4.4.4 アカウントの変更

- 11.4.4.5 直属の部下の詳細の変更

- 11.4.5 ユーザーの無効化

- 11.4.6 ユーザーの有効化

- 11.4.7 ユーザーの削除

- 11.4.8 アカウントのロック

- 11.4.9 アカウントのロック解除

- 11.5 ユーザー名の予約

- 11.5.1 ユーザー名の予約の有効化と無効化

- 11.5.2 ユーザー名ポリシーの構成

- 11.5.3 カスタム・ユーザー名ポリシーの記述

- 11.5.4 ユーザー名の解放

- 11.5.5 Microsoft Active Directoryサポートのためのユーザー名生成の構成

- 11.6 共通名の生成

- 11.6.1 ユーザー作成操作での共通名の生成

- 11.6.2 ユーザー変更操作での共通名の生成

12 ロールの管理

- 12.1 ロール・メンバーシップの継承

- 12.2 ロール権限の継承

- 12.3 ロール・エンティティ定義

- 12.3.1 ロール・エンティティ

- 12.3.2 ロール・カテゴリ・エンティティ

- 12.3.3 ロール付与関係

- 12.3.4 ロール親関係

- 12.3.5 ロール組織関係

- 12.4 デフォルト・ロール

- 12.5 ロール管理タスク

- 12.5.1 ロールの作成

- 12.5.2 ロールの管理

- 12.5.2.1 ロールの検索

- 12.5.2.2 ロールの表示と管理

- 12.5.2.3 アクセス・ポリシーの表示

- 12.5.2.4 ロールの削除

- 12.5.3 ロール・カテゴリの作成と管理

- 12.5.3.1 ロール・カテゴリの作成

- 12.5.3.2 ロール・カテゴリの検索

- 12.5.3.3 ロール・カテゴリの変更

- 12.5.3.4 ロール・カテゴリの削除

- 12.6 リクエスト・ベースのロールの付与

13 組織の管理

- 13.1 委任管理モデル

- 13.2 組織エンティティ定義

- 13.3 組織のスコープと階層

- 13.4 組織へのエンティティの公開

- 13.5 管理ロール

- 13.6 委任できる操作と委任できない操作

- 13.7 パスワード・ポリシーの評価

- 13.8 組織管理タスク

- 13.8.1 組織の検索

- 13.8.2 組織の作成

- 13.8.3 組織の表示と変更

- 13.8.3.1 組織の属性の変更

- 13.8.3.2 子組織の管理

- 13.8.3.3 組織のメンバーシップの表示

- 13.8.3.4 使用可能なロールの表示

- 13.8.3.5 管理ロールの管理

- 13.8.3.6 使用可能なアカウントの表示

- 13.8.3.7 プロビジョニングされたアカウントの表示

- 13.8.3.8 使用可能な権限の表示

- 13.8.4 組織の有効化と無効化

- 13.8.5 組織の削除

14 アテステーション・ダッシュボードの使用

- 14.1 アテステーション・リクエスト詳細の表示

- 14.2 電子メール通知

- 14.3 アテステーション猶予期間チェッカー・スケジュール済タスク

15 アイデンティティの証明の使用

- 15.1 アイデンティティの証明の概要

- 15.1.1 アイデンティティの証明とは

- 15.1.2 アイデンティティの証明を完了させる関係者

- 15.2 証明のUI

- 15.3 証明名の書式

- 15.4 証明の検索と表示

- 15.4.1 ダッシュボードでの証明の検索

- 15.4.2 ダッシュボードからの証明の表示

- 15.5 オフライン・モードでのユーザー証明の完了

- 15.6 証明レポートの生成

- 15.6.1 ダッシュボードからの証明レポートの生成

- 15.6.2 証明ページからのエクスポート済証明レポートの生成

用語集

索引

図一覧

- 2-1 Oracle Identity Self Serviceのログイン・ページ

- 2-2 Oracle Identity Self Serviceのレイアウト

- 2-3 ヘルプ・インタフェースのレイアウト

- 5-1 ツールバーの「ボックスを上に追加」アイコン

- 5-2 新しいコンテナ

- 5-3 「コンポーネント・プロパティ」ダイアログ・ボックス

- 5-4 コンテナのドラッグ・アンド・ドロップ

- 5-5 「ホーム」ページのレイアウト

- 5-6 例による問合せ

- 8-1 カートのリクエスト

- 9-1 リクエスト・プロセス・フロー

- 9-2 リクエストのステージ

- 9-3 バルク・リクエストと子リクエストのステージ

- 9-4 「カタログ」ページ

- 9-5 カートのリクエスト

- 9-6 「カート詳細」ページ

- 9-7 「リクエスト・サマリー」ページ

- 10-1 「タスク・タイプ・ブラウザ」ダイアログ・ボックス

- 10-2 アイデンティティ・ブラウザ

- 10-3 「拡張検索」ダイアログ・ボックス

- 10-4 「タスクへの注意の追加」ウィンドウ

- 10-5 「タスクの割当先ユーザーの選択」ウィンドウ

- 10-6 「タスクの履歴」ウィンドウ

- 10-7 「アテステーション・リクエストの詳細」ウィンドウ

- 11-1 ユーザー・ライフサイクル

- 11-2 「システム・プロパティ詳細」ページ

- 11-3 デフォルト・ユーザー名ポリシーの構成

- 12-1 ロール・メンバーシップおよびロール権限の継承

- 12-2 式ビルダー

- 13-1 委任管理

- 13-2 組織の検索結果

- 13-3 「組織の作成」ページ

- 13-4 「組織の詳細」ページ

- 15-1 「証明」タブ

表一覧

- 8-1 「詳細情報」セクションのフィールド

- 9-1 リクエストのステージ

- 9-2 カタログベースのリクエストに対するデフォルトの操作およびリクエスト・タイプ

- 9-3 カタログベース以外のリクエストに対するデフォルトの操作およびリクエスト・タイプ

- 10-1 「承認の詳細」ページの列

- 10-2 プロビジョニング・タスク検索結果表のフィールド

- 10-3 「タスクの詳細」ウィンドウのフィールド

- 10-4 「タスクの履歴」ウィンドウのフィールド

- 10-5 アテステーション・タスク検索結果表のフィールド

- 10-6 「アテステーション・リクエストの詳細」ウィンドウのフィールド

- 11-1 ユーザー・ライフサイクルとビジネス目的のサンプル・シナリオ

- 11-2 ユーザー・エンティティに対して定義されている属性

- 11-3 デフォルトのユーザー・アカウント

- 11-4 「ユーザーの作成」ページのフィールド

- 11-5 事前定義済のユーザー名ポリシー

- 11-6 ポリシーIDを表す定数

- 11-7 RDN変更のシナリオ

- 12-1 ロール・エンティティのデフォルト属性

- 12-2 ロール・カテゴリ・エンティティのデフォルト属性

- 12-3 ロール付与関係のデフォルト属性

- 12-4 ロール親関係のデフォルト属性

- 12-5 Oracle Identity Managerのデフォルト・ロール

- 12-6 「ロールの作成」ページのフィールド

- 13-1 組織エンティティのデフォルト属性

- 13-2 Oracle Identity Managerの管理ロール

- 13-3 管理ロールと権限

- 15-1 4つのタイプのアイデンティティの証明

- 15-2 アイデンティティの証明のレビューア

- 15-3 証明名の書式

- 15-4 デフォルトの証明レポート

Oracle® Fusion Middleware

Oracle Identity Managerユーザーズ・ガイド

11gリリース2 (11.1.2.1.0)

B69542-04(原本部品番号:E27151-06)

2013年5月

Oracle Fusion Middleware Oracle Identity Managerユーザーズ・ガイド, 11g リリース2 (11.1.2.1.0)

B69542-04

Copyright © 1991, 2013, Oracle and/or its affiliates.All rights reserved.

原本著者:  Debapriya Datta

原本協力著者: Prakash Hulikere

協力者: Rajesh Pakkath、Sanjay Rallapalli

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

このソフトウェアまたは関連ドキュメントを、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供する場合は、次の通知が適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs.No other rights are granted to the U.S. Government.

このソフトウェアまたはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアまたはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用する際、このソフトウェアまたはハードウェアを安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

OracleおよびJavaはOracle およびその関連企業の登録商標です。その他の名称は、それぞれの所有者の商標または登録商標です。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXはThe Open Groupの登録商標です。

このソフトウェアまたはハードウェアおよびドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。

はじめに

『Oracle Fusion Middleware Oracle Identity Managerユーザーズ・ガイド』では、Oracle Identity Self Serviceのタスク機能および委任管理機能について説明します。

対象読者

このガイドは、Oracle Identity Self Serviceにログインしてセルフ・サービス操作を実行し、ロールやリソースをリクエストしたり、承認、プロビジョニングおよびアテステーションに関する様々なタスクを管理できるユーザーを対象としています。また、アイデンティティ管理タスクを実行したり、管理権限を委任するための認可ポリシーを定義できる委任管理者も対象としています。さらに、任意のロールが指定されたユーザーは、Oracle Identity Managerの概要と概念を理解するためにこのガイドを参照できます。

ドキュメントのアクセシビリティについて

オラクル社のアクセシビリティへの取組みの詳細は、Oracle Accessibility ProgramのWebサイトhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=docaccを参照してください。

Oracleサポートへのアクセス

Oracleカスタマは、My Oracle Supportから電子サポートにアクセスできます。詳細は、http://www.oracle.com/pls/topic/lookup?ctx=acc&id=infoまたはhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs (聴覚障害者向け)を参照してください。

関連ドキュメント

詳細は、このリリースのOracle Identity Managementのドキュメント・セットに含まれる次のドキュメントを参照してください。

- Oracle Fusion Middleware Oracle Identity Manager管理者ガイド

- Oracle Fusion Middleware Oracle Identity Manager開発者ガイド

- Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド

- Oracle Identity ManagementのOracle Fusion Middlewareクイック・インストレーション・ガイド

- Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド

- Oracle Fusion Middlewareスイート統合概要

- Oracle Fusion Middleware Oracle Identity Managementユーザー・リファレンス

- Oracle Fusion Middleware高可用性ガイド

- Oracle Fusion Middleware Oracle Access Manager管理者ガイド

- Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド

- Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド

- Oracle Fusion Middleware Oracle Identity Navigator管理者ガイド

- Oracle Fusion Middleware Authorization Policy Manager管理者ガイド

表記規則

このマニュアルでは次の表記規則を使用します。

規則

意味

太字

太字は、操作に関連するGraphical User Interface要素、または本文中で定義されている用語および用語集に記載されている用語を示します。

イタリック体

イタリックは、ユーザーが特定の値を指定するプレースホルダ変数を示します。

固定幅フォント

固定幅フォントは、段落内のコマンド、URL、サンプル内のコード、画面に表示されるテキスト、または入力するテキストを示します。

第I部

概念

この部では、Oracle Identity Managerを紹介し、Oracle Identity Managerに関連する概念について説明します。

次の章で構成されます。

- 第1章「機能の概要」

- 第2章「Oracle Identity Self Serviceインタフェース」

1 機能の概要

Oracle Identity Managerは、アプリケーションおよびディレクトリからユーザー・アカウントを追加、更新および削除するプロセスを自動化するユーザー・プロビジョニングおよび管理ソリューションです。また、誰が何にアクセスしたかを示すきめ細かいレポートを提供することで、法規制コンプライアンスの向上にも寄与します。Oracle Identity Managerは、スタンドアロン製品として、またはOracle Identity and Access Management Suiteの一部として使用可能です。

ユーザー・アイデンティティのプロビジョニングを自動化すると、情報テクノロジ(IT)の管理コストを削減し、セキュリティを高めることができます。プロビジョニングは、法規制コンプライアンスにおいても重要な役割を果たします。Oracle Identity Managerの主要機能には、パスワード管理、ワークフローとポリシーの管理、アイデンティティ・リコンシリエーション、レポートと監査、拡張性などがあります。

1.1 Oracle Identity Managerの機能

Oracle Identity Managerの機能は、次のカテゴリに分類できます。

- ビジネス・ユーザーに使いやすい使用方法

- ビジネスに使いやすいリクエスト・インタフェース

- ビジネス・ユーザーに使いやすいリクエスト・トラッキング

- セルフ・サービスおよび委任管理の統合されたインタフェース

- 組織ごとのスコープ・セキュリティ

- ビジネス・ユーザーに使いやすいパーソナライズ

- ユーザー管理

- パスワード管理

- ユーザー・プロビジョニング

- 組織およびロール管理

1.1.1 ビジネス・ユーザーに使いやすい使用方法

Oracle Identity Managerの以前のリリースでは、Oracle Identity ManagerはITを中心とした使用方法でした。ロール、権限またはアプリケーションをリクエストするには、ビジネス・ユーザーは、使用するリクエスト・テンプレート、リソース・オブジェクトまたはITリソースなどの詳細を理解している必要がありました。このリリース以降、Oracle Identity Managerは簡単に使用できるようになりました。ビジネス・ユーザーはITに関連した詳細を理解している必要はありません。かわりに、ビジネス・ユーザーは、リクエスト・カタログで項目を検索して、それをショッピング・カートに追加できます。Oracle Identity Managerは、簡素化されたリクエスト・インタフェース(ショッピング・カートとカタログ・ベースの操作性、ビジネスに使いやすいリクエスト・トラッキング、承認タスクと証明タスクの統合された受信ボックス、セルフ・サービス・タスクと委任管理タスクの統合されたインタフェースなど)を使用した使いやすい使用方法をビジネス・ユーザーに提供します。

1.1.2 ビジネスに使いやすいリクエスト・インタフェース

Oracle Identity Managerの以前のリリースでは、複雑なリクエスト・シナリオは、ロール・リクエスト、リクエスト・テンプレートおよびSOA承認プロセスを使用して実装されていました。しかし、リクエスト管理エンジンはアプリケーション権限をリクエストする機能を提供していませんでした。さらに、リクエスト・プロセス全体が使いにくいものでした。

リクエスト・インタフェースを簡略化するためにショッピング・カート・パターンが導入されました。エンド・ユーザーは、ショッピング・カート・パターンを使用してロール、権限およびアプリケーション・インスタンスなどのエンティティをアクセス・リクエスト・カタログからリクエストできます。

1.1.3 ビジネス・ユーザーに使いやすいリクエスト・トラッキング

管理者およびエンド・ユーザーは、ユーザーに使いやすい簡略化されたリクエスト・トラッキング・インタフェースを使用して、すべてのリクエストを簡単にトラッキングできます。Oracle Identity Self Serviceの「リクエストのトラッキング」ページを使用して、リクエストID、ステータス、リクエスト・タイプ、リクエスト日、受益者およびリクエスタに基づいてリクエストを検索することで、リクエストを表示またはクローズできます。

1.1.4 セルフ・サービスおよび委任管理用の統合されたインタフェース

以前のリリースとは異なり、Oracle Identity Managerの現行のリリースでは、本人および他のユーザーにエンド・ユーザー・セルフ・サービスの統合されたインタフェースおよびユーザー委任管理フローが提供されます。このリリースでは、ユーザーの委任管理機能は、他のユーザーにかわって発行されたリクエストがセキュリティ構成に基づいて自動的に承認されるのみです。

1.1.5 組織ごとのスコープ・セキュリティ

Oracle Identity Managerでは、委任管理および様々なエンティティのデータ・セキュリティを行う組織レベルのスコープ・メカニズムが提供されます。すべてのエンティティは一連の組織に対して公開され、公開された組織内のユーザーのみがアクセスを受信することを許可されます。

1.1.6 ビジネス・ユーザーに使いやすいパーソナライズ

Oracle Identity Managerでは、それぞれのログイン用にOracle Identity Self Serviceをパーソナライズできます。「ホーム・ページ」内での領域の再編成または非表示、定期的に検索する項目の保存と再利用、ソート・プリファレンスの保存などができます。

1.1.7 ユーザー管理

セルフサービス機能のデプロイおよび管理機能の委任により、企業はユーザーの生産性、ユーザー満足度、および業務効率を向上させることができます。

セルフ・サービスおよびシステム管理用の単一のインタフェース

Oracle Identity Managerは、本人、アイデンティティ管理およびシステムの管理と構成に関連したすべてのタイプの操作を実行するための単一のWebベース・インタフェースを提供します。

ユーザー・プロファイルの管理

ユーザーは、Oracle Identity Self Serviceを使用して、自分のプロファイルを表示および編集できます。これにより、管理オーバーヘッドが軽減され、ユーザーが自分のアイデンティティ・プロファイルを管理できるようになります。

Oracle Identity Manager管理のユーザー・インタフェースを使用すると、管理者はアクセス権限に従って他のユーザーのプロファイルを表示および管理できます。これにより、管理者は、ユーザー・プロファイルの作成と編集、ユーザーのパスワードの変更、および委任された他の管理タスクを実行できます。

リクエスト管理

Oracle Identity Self Serviceでは、ユーザーはきめ細かな権限、プロファイル管理リクエストおよびロール・メンバーシップ・リクエストを使用して、リソースに対するプロビジョニング・リクエストを作成することもできます。Webベースのカタログ・インタフェースからリクエストする項目を選択できます。業務の承認者(チーム・リーダー、ライン管理者および部長など)は、同じWebベースのインタフェースを使用して着信リクエストを検討し、承認できます。これにより、企業は労力とコストを削減できます。

委任管理

Oracle Identity Managerは、任意のグループまたはユーザーへのほとんどの管理機能の委任をサポートする、柔軟性に富んだセキュリティ・フレームワークを特長としています。管理ポイントをできるかぎりユーザーに近づけることにより、企業は生産性を高めながら、緊密な管理とセキュリティの強化を実現できます。

1.1.8 パスワード管理

現在、パスワード管理は企業にとって最も重要な問題の1つです。パスワード管理ソリューションを実装すると、チケットの生成やヘルプ・デスクへのコールに関連するコストおよびオーバーヘッドが削減されます。この項で説明するOracle Identity Managerのパスワード管理機能は、この分野で企業を支援することを目的としています。

セルフサービスのパスワード管理

ユーザーは、自分のエンタープライズ・パスワードを管理し、個々の管理アカウントの構成方法に従って管理アカウントとパスワードを同期化できます。エンタープライズ・パスワードは、Oracle Identity Managerのセルフサービス機能を使用して管理されます。ユーザーがパスワードを忘れた場合、Oracle Identity Managerでは、カスタマイズ可能なチャレンジ質問を表示して、セルフサービスのアイデンティティ検証とパスワードのリセットを可能にします。調査によると、ヘルプ・デスクへのコールの大部分はパスワードのリセットとアカウントのロックアウトに関連する内容です。このセルフサービス機能により、必要なヘルプデスクへのコールが減少し、コストが削減されます。

高度なパスワード・ポリシー管理

ほとんどのベスト・プラクティスが購入後すぐに使用でき、直感的に操作できるユーザー・インタフェースを使用して構成できます。サポートされるパスワードの複雑性の要件には、パスワードの長さ、英数字および特殊文字の使用、大/小文字の使用、ユーザー名の全部または一部除外、パスワードの最小期間、および履歴パスワードが含まれます。Oracle Identity Managerでは、ユーザーによるパスワードの設定を制御する複雑なパスワード・ポリシーを定義できます。さらに、リソースごとに複数のポリシーを適用できます。たとえば、権限のレベルが低いユーザーを制約の緩いパスワード・ポリシーの対象とする一方で、権限を持つ管理者を制約の厳しいポリシーの対象とすることができます。

パスワードの同期化

Oracle Identity Managerでは、管理リソース全体でパスワードを同期化またはマップして、これらのリソース間でパスワード・ポリシーの相違を強制できます。さらに、企業がMicrosoft Windowsのデスクトップベースのパスワード・リセット機能を使用している場合は、Oracle Identity ManagerのActive Directory(AD)コネクタがADサーバーでパスワード変更を捕捉し、ポリシーに従って他の管理リソースにその変更を伝播できます。ディレクトリ・サーバーとメインフレーム用のほとんどのOracle Identity Managerコネクタには、同様の双方向パスワード同期化機能が装備されています。

1.1.9 ユーザー・プロビジョニング

プロビジョニングでは、Oracle Identity Managerからターゲット・システムへのユーザー情報の外部へのフローが提供されます。プロビジョニングは、リソースのユーザー情報を作成、変更または削除するためのアクションをOracle Identity Managerで開始し、リソースに渡すプロセスです。プロビジョニング・システムはリソースと通信し、アカウントに適用する変更を指定します。

プロビジョニングには、次のことが含まれます。

- ユーザー・アイデンティティおよびユーザー・アカウントのプロビジョニングの自動化: 複数のシステムやアプリケーションにわたってユーザー・アイデンティティとユーザー・アカウントを管理します。たとえば、給与処理部門に勤務する従業員が人事管理システムで作成されると、このユーザーのアカウントが、電子メール・システム、電話システム、会計システムおよび給与レポート・システムにも自動的に作成されます。

- ワークフローおよびポリシー管理: これにより、アイデンティティのプロビジョニングが可能になります。管理者は、プロビジョニング・ツールに用意されているインタフェースを使用し、セキュリティ・ポリシーに基づいてプロビジョニング・プロセスを作成できます。

- レポートおよび監査: プロビジョニング・プロセスとその実施に関するドキュメントを作成できます。このドキュメントは、監査、法規制およびコンプライアンスのために不可欠なものです。

- アテステーション: これにより、管理者はユーザーのアクセス権を定期的に確認できます。

- アクセス権のプロビジョニング解除: 企業内でユーザーのアクセス権が不要または無効になった場合、Oracle Identity Managerでは、ロール・ベースまたは属性ベースのアクセス・ポリシーに従い、必要に応じて、または自動的にアクセス権を失効します。つまり、ユーザーのアクセス権は、不要になると即座に停止されます。これにより、セキュリティ・リスクを最小限に抑えるとともに、データ・サービスなど、消費コストの高いリソースに対する無駄なアクセスを防ぐことができます。

1.1.10 組織およびロール管理

組織エンティティは、Oracle Identity Managerの他のエンティティ(ユーザー、ロール、ポリシーなど)の論理的なコンテナを示します。つまり、組織は委任管理モデルに使用できるコンテナです。さらに、Oracle Identity Managerの他のエンティティ(ユーザーなど)のスコープも定義します。Oracle Identity Managerでは、フラットな組織構造または階層的な構造(組織に他の組織を含めることができることを意味する)をサポートしています。階層は、エンティティの管理を容易にするために、部門、地理的な地域または他の論理的な区分を表現できます。

ロールは、Oracle Identity Manager内でアクセス権を割り当てたり、リソースを自動的にプロビジョニングしたり、承認やアテステーションなどの共通のタスクで使用できるユーザーの論理的なグループです。ロールは、組織に依存しないロール、複数の組織にわたるロール、または1つの組織のユーザーのみを含むロールのいずれかです。

2 Oracle Identity Self Serviceインタフェース

この章では、Oracle Identity Self Serviceを習得します。これにより、必要な情報をすばやく検索でき、必要なタスクを迅速に完了できます。

この章では、次の項目について説明します。

- Oracle Identity Self Serviceへのログイン

- Oracle Identity Self Serviceインタフェースの概要

2.1 Oracle Identity Self Serviceへのログイン

Oracle Identity Self Serviceにログインする手順は、次のとおりです。

1. Webブラウザを使用して次のURLにアクセスします。

http://HOSTNAME:PORT/identity

このURLで、HOSTNAMEはアプリケーション・サーバーをホストするコンピュータの名前を表し、PORTはサーバーがリスニングしているポートを指します。

注意:

アプリケーション名identityでは大文字と小文字が区別されます。

2. Identity Self Serviceログイン・ページが表示されたら、ユーザー名とパスワードを使用してログインします。

関連項目:

ログインの詳細は、「Oracle Identity Self Serviceへのアクセス」を参照してください。

2.2 Oracle Identity Self Serviceインタフェースの概要

Oracle Identity Self Serviceは、Oracle Identity Managerのほとんどのユーザーに役立つユーザー・セルフサービス機能および委任アイデンティティ管理機能を提供します。このコンソールは、セルフ・サービス・コンソールおよび未認証セルフ・サービス・コンソールへのアクセスを提供します。図2-1は、これらの2つのコンソールを示しています。

図2-1 Oracle Identity Self Serviceのログイン・ページ

「図2-1 Oracle Identity Self Serviceのログイン・ページ」の説明

Identity Self Serviceは、未認証セルフ・サービス・コンソールでの未認証セルフ・サービス・タスクへのアクセスをサポートします。Identity Self Serviceに対して認証されていないユーザーまたはログインしていないユーザーは、「ユーザー・ログインを忘れた場合」、「パスワードを忘れた場合」、「新規ユーザーの登録」または「自分の情報のトラッキング」リンクをクリックして、未認証セルフ・サービス・コンソールにアクセスできます。このコンソールで、未認証のユーザーは、忘れたユーザー・ログインIDまたはパスワードの取得、Oracle Identity Manager環境への登録および登録のトラッキングを行うことができます。詳細は、「セルフ・サービスの登録」および「Oracle Identity Self Serviceへのアクセス」を参照してください。

Identity Self Serviceにログインすると、未認証セルフ・サービス・タスクにアクセスできます。Identity Self Serviceのインタフェースは、次の領域で構成されています。

- リンク

- 左右のペイン

図2-2では、Identity Self Serviceのページとレイアウトのサンプルを示します。

図2-2 Oracle Identity Self Serviceのレイアウト

「図2-2 Oracle Identity Self Serviceのレイアウト」の説明

2.2.1 リンク

この領域は、インタフェースの右上に次のリンクで構成されています。

- アクセシビリティ

- サンドボックス

- カスタマイズ

- ヘルプ

- サインアウト

2.2.1.1 アクセシビリティ

Identity Self Serviceは、リハビリテーション法508条およびWorld Wide Web ConsortiumのWeb Content Accessibility Guidelines 2.0 AA (WCAG 2.0 AA)標準に従って設計されています。

ページの右上にある「アクセシビリティ」リンクをクリックすると、「アクセシビリティ」ダイアログ・ボックスが表示されます。「アクセシビリティ」ダイアログ・ボックスで、次のいずれかのオプションを選択できます。

- スクリーン・リーダーを使用する
スクリーン・リーダーを使用する場合は、このオプションを選択します。

- 高コントラスト色を使用する
Identity Self Serviceのデフォルト・カラー・スキームを使用せずに、高コントラスト・カラー・スキームを使用し、オペレーティング・システムで指定してある場合は、このオプションを選択します。

- 大きいフォントを使用する
表示および可読性を改善するためにフォント・サイズを変更する場合は、このオプションを選択します。

2.2.1.2 サンドボックス

サンドボックスは、メインラインの使用に影響を与えることなく、メタデータ・オブジェクトを変更できる領域を表します。つまり、サンドボックスは、ランタイム・ページ・カスタマイズの保存、他のユーザーへの公開または破棄が行われるまで、そのカスタマイズのグループを保存しておく一時記憶領域です。

「サンドボックスの管理」ページで、サンドボックスを作成、削除、アクティブ化、非アクティブ化および公開できます。詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のサンドボックスの管理に関する説明を参照してください。

2.2.1.3 カスタマイズ

これは、ユーザー・インタフェース(UI)のカスタマイズに使用されます。「カスタマイズ」リンクをクリックすると、画面のコンポーネントをカスタマイズできるOracle Web Composerが開きます。UIのカスタマイズの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のインタフェースのカスタマイズに関する項を参照してください。

2.2.1.4 ヘルプ

Identity Self Serviceにはヘルプ・システムが含まれています。「ヘルプ」リンクをクリックすると、ヘルプ・システムが新しいウィンドウで開きます。さらに、Identity Self Serviceでは、状況依存ヘルプが提供されます。たとえば、「カタログ」ページで「ヘルプ」リンクをクリックすると、カタログに関連するコンテンツが表示されます。

図2-3では、ヘルプ・インタフェースのサンプル・ページとデフォルト・レイアウトを示します。

図2-3 ヘルプ・インタフェースのレイアウト

「図2-3ヘルプ・インタフェースのレイアウト」の説明

ヘルプ・システムのデフォルトの表示は、次の3つのペインで構成されています。

- トップ・ペイン

- 左下ペイン

- 右下ペイン

2.2.1.4.1 トップ・ペイン

トップ・ペインは、次のように構成されています。

- ドキュメント・ドロップダウン・リスト: このドロップダウン・リストで、次のいずれかの値を選択できます。

- Oracle Identity Managerのヘルプ・トピック: Oracle Identity Managerのすべてのヘルプ・トピックを表示するには、この値を選択します。

- Oracle Identity Manager管理者ガイド: 『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のオンライン・ヘルプ・バージョンを表示するには、この値を選択します。

- Oracle Identity Manager開発者ガイド: 『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のオンライン・ヘルプ・バージョンを表示するには、この値を選択します。

- Oracle Identity Managerユーザーズ・ガイド: 『Oracle Fusion Middleware Oracle Identity Managerユーザーズ・ガイド』のオンライン・ヘルプ・バージョンを表示するには、この値を選択します。

- Oracle Identity Managerのカスタム・ヘルプ・トピック: 任意のカスタム・ヘルプ・トピックを表示するには、この値を選択します。

- 検索フィールド: ヘルプ・システムで検索する任意の語または用語を指定します。

- 表示: 「表示」メニューで、次のいずれかのオプションを選択できます。

- 読取りペインの最大化: 読取りペイン(右下ペイン)を最大化するために左下ペインを閉じます。

- ウィンドウ・レイアウトをデフォルトに戻す: ヘルプ・システムの現在のレイアウトをデフォルトのレイアウトに戻します。

- 目次: 「目次」領域とヘルプ・トピックが表示されていない場合は、これを表示するように左下ペインを元に戻します。

- 検索: 「検索」領域が左下ペインに表示されます。「検索」領域で、ヘルプ・トピックを検索して検索結果を表形式で表示できます。検索の実行に関するガイドラインを次に示します。

- 「検索」フィールドで指定する検索基準は、「大/小文字区別」オプションを選択することにより、検索で大/小文字を区別できます。

- 検索を正確に定義する場合は、検索基準にブール演算子& (AND)、| (OR)、! (NOT)を指定し、「ブール式」オプションを選択して「検索」をクリックします。

- 検索基準で指定した語をすべて含むヘルプ・トピックを検索する場合は、「すべての語」を選択します。

- 検索基準で指定した語のいずれかを含むヘルプ・トピックを検索する場合は、「いずれかの語」を選択します。

- このトピック・ページへの永続リンクの表示: 今後の参照のためにヘルプ・トピックへのリンクを保存する場合は、「表示」メニューで「このトピック・ページへの永続リンクの表示」を選択します。表示されているダイアログ・ボックスで、ヘルプ・トピックへのリンクを右クリックして、次のいずれかのオプションを選択します。

- このリンクのブックマーク: ヘルプ・トピックのURLをブラウザのブックマークに追加します。

- リンク場所のコピー: ヘルプ・トピックURLをクリップボードにコピーします。

- ツールバー: ヘルプ・システムには、特定のタスクを行うアクション・ボタンを提供するツールバーが含まれています。マウス・ポインタをボタンの上に移動すると、ボタン名が表示されます。次のボタンを使用できます。

- 1ページ戻る: 前のヘルプ・トピックを含むページに戻ります。

- 1ページ進む: このアイコンは、1ページ戻るアイコンをクリックした場合にのみ有効です。1ページ進むアイコンをクリックすると、表示しているトピックの次のページに順番で進みます。

- このトピック・ページの印刷: 現在のヘルプ・トピックを印刷します。

- このトピック・ページを電子メールで通知: ヘルプ・システムに現在表示されているヘルプ・トピックへのリンクを電子メールで通知します。この通知は必要な電子メール受信者に送信できます。

- このトピック・ページへのリンク: 表示されているダイアログ・ボックスで、ヘルプ・トピックへのリンクを右クリックして、今後の参照のためにヘルプ・トピックへのリンクを保存し、次のいずれかのオプションを選択します。

- このリンクのブックマーク: ヘルプ・トピックのURLをブラウザのブックマークに追加します。

- リンク場所のコピー: ヘルプ・トピックURLをクリップボードにコピーします。

2.2.1.4.2 左下ペイン

左ペインには、「目次」領域と「検索」領域があります。デフォルトでは、「目次」領域は開いています。「目次」領域には、トップ・ペインの「ドキュメント」ドロップ・ダウン・リストで選択したオプションに従って、ヘルプ・トピックへのリンクが表示されます。「目次」の横にある矢印アイコンをクリックして、「目次」領域を開くまたは閉じることができます。

2.2.1.4.3 右下ペイン

右下ペインには、左下ペインの「目次」領域から開くか、または「検索」領域で検索するヘルプ・トピックが表示されます。このペインは、読取りペインと呼ばれることもあります。

2.2.1.5 サインアウト

Identity Self Serviceからログ・アウトするには、「サインアウト」リンクをクリックします。

2.2.2 左右のペイン

Identity Self Serviceのすべてのページは、2つのペインに分割されています。左ペインは、様々なタスクを実行する領域へのリンクを含むセクションで構成されています。左ペインは主要なナビゲーション・ツールであり、Identity Self ServiceのすべてのWebページに表示されます。左ペインでクリックするリンクに応じて、関連する詳細が右ペインに表示されます。

左ペインは次の領域で構成されています。

- ホーム

- 受信ボックス

- プロファイル

- リクエスト

- 証明

- 管理

2.2.2.1 ホーム

「ホーム」ページには、Identity Self Serviceの様々な機能のスナップショットがあります。デフォルトでは、このページには「保留リクエスト」、「保留中の承認」、「マイ・アカウント」、「直属の部下」、「スタート・ガイドのヘルプ・トピック」および「パスワードの変更」のコンテナが含まれています。コンテナの並替え、非表示、削除または変更を行うことで、「ホーム」ページをパーソナライズできます。

詳細は、「セルフ・サービスのパーソナライズ」を参照してください。

2.2.2.2 受信ボックス

受信ボックスを使用して、次を実行します。

- ユーザーまたは管理者のキューにある承認待ちのリクエストに対応する承認タスクを表示および管理します。詳細は、「承認タスクの管理」を参照してください。

- ログイン・ユーザーに割り当てられた証明レビュー・タスクを表示および管理します。詳細は、「統合された受信ボックス使用方法」と「証明レビュー・タスクの管理」を参照してください。

2.2.2.3 プロファイル

「プロファイル」領域は次のように構成されています。

- 本人情報
パスワードの変更、チャレンジ質問および回答の設定など、プロファイルの個人の詳細を表示および変更するには、このページを使用します。

詳細は、「プロファイル情報の管理」を参照してください。

- マイ・アクセス
このページには、ロール、権限、アカウントおよび管理ロールなどのアクセス権を持つエンティティが表示されます。このセクションでは、エンティティをリクエスト、削除または変更できます。

詳細は、「アクセスの管理」を参照してください。

2.2.2.4 リクエスト

「リクエスト」領域は次のように構成されています。

- カタログ
ロール、権限およびアプリケーション・インスタンスなどのカタログ項目を検索、表示およびリクエストするには、このページを使用します。

詳細は、「アクセス・リクエスト・カタログの使用」を参照してください。

- リクエストのトラッキング
自分で要求したリクエストおよび自分に対して要求されたリクエストを検索およびトラッキングする場合に、このページを使用します。リクエストID、ステータス、リクエスト・タイプ、リクエスト日、受益者およびリクエスタに基づいてリクエストを検索できます。

詳細は、「リクエストのトラッキング」を参照してください。

- 保留アテステーション
ユーザーまたは管理者のキューの未処理アテステーション・プロセスに対応するアテステーション・タスクを表示および管理する場合は、このページを使用します。

詳細は、「アテステーション・タスクの管理」を参照してください。

2.2.2.5 証明

「証明」領域には「ダッシュボード」リンクが含まれています。アイデンティティの証明ダッシュボードには、Oracle Identity Manager内の進行中の証明と完了した証明の概要が表示されます。

ダッシュボードの詳細は、「アイデンティティの証明の使用」を参照してください。

2.2.2.6 管理

「管理」領域は次のように構成されています。

- ユーザー
このページはユーザーの表示および管理に使用されます。このページで実行できるユーザー管理タスクの一部には、ユーザーの作成、変更、削除、有効化および無効化があります。

詳細は、「ユーザーの管理」を参照してください。

- ロール
このページはロールの表示および管理に使用されます。このページで実行できるロール管理タスクの一部には、ロールの作成、表示、管理および削除があります。

詳細は、「ロールの管理」を参照してください。

- ロール・カテゴリ
このページはロール・カテゴリの表示および管理に使用されます。詳細は、「ロール・カテゴリの作成と管理」を参照してください。

- 組織
このページは組織の表示および管理に使用されます。組織管理タスクの一部には、組織の作成、表示、変更および削除があります。

詳細は、「組織の管理」を参照してください。

- アテステーション・ダッシュボード
このページは、本人がメンバーであるグループに所有されるアテステーション・プロセスの状態の表示に使用されます。

詳細は、「アテステーション・ダッシュボードの使用方法」を参照してください。

- オープン・タスク
このページは、リクエストによってインスタンス化されたタスク、ユーザーや管理者のキューで保留中の手動プロビジョニング・タスク、または失敗した自動プロビジョニング・タスクに対応するプロビジョニング・タスクの表示および管理に使用されます。

詳細は、「プロビジョニング・タスクの管理」を参照してください。

第II部

Oracle Identity Managerユーザー・インタフェースの概要

この部では、Oracle Identity Managerで実行できる様々なセルフサービス・タスクについて説明します。

次の章で構成されます。

- 第3章「セルフ・サービスへの登録」

- 第4章「Oracle Identity Self Serviceへのアクセス」

- 第5章「セルフ・サービスのパーソナライズ」

- 第6章「プロファイル情報の管理」

- 第7章「アクセスの管理」

- 第8章「アクセス・リクエスト・カタログの使用」

- 第9章「リクエストの管理」

- 第10章「タスクの管理」

3 セルフ・サービスへの登録

この章では、次の項目について説明します。

- 登録リクエストの送信

- 登録リクエストのトラッキング

3.1 登録リクエストの送信

Oracle Identity Self ServiceまたはOracle Identity System Administrationで特定のタスクを実行するには、アイデンティティに自身を登録する必要があります。

注意:

自己登録は、XL.SelfRegistrationAllowedシステム・プロパティの値がtrueに設定されている場合にのみ許可されます。このシステム・プロパティについては、Oracle Fusion Middleware Oracle Identity Manager管理者ガイドのOracle Identity Managerのシステム・プロパティに関する項を参照してください。

自身をOracle Identity Managerに登録する手順は、次のとおりです。

1. Oracle Identity Self Serviceのログイン・ページで、「新規ユーザーの登録」をクリックします。ユーザー登録ページが表示されます。

2. 「基本情報」セクションで、名、ミドル・ネーム、姓、電子メール、一般名、表示名を各フィールドに入力します。
表示名は、UIに表示されるユーザーの名前です。指定しない場合は、ユーザーの作成時に自動生成されます。

3. 「ユーザーIDとパスワードの入力」セクションで、ユーザー・ログイン名、パスワード、確認用パスワードを各フィールドに入力します。

4. 「チャレンジ質問および回答の選択」セクションで、チャレンジ質問を選択し、質問ごとに回答を設定します。

注意:

- チャレンジ質問および回答は、その属性が自己登録のテンプレートに定義されている場合に尋ねられます。

- Oracle Identity Managerデプロイメントの一部は自己登録をサポートしません。これは、従業員および契約社員のアイデンティティを管理する内部デプロイメントに特に当てはまり、そこでは自己登録ではなくリコンシリエーションでアイデンティティが追加されます。

5. 「登録」をクリックします。登録機能のトラッキングに使用される、登録アクティビティのトラッキングIDが提供されます。

3.2 登録リクエストのトラッキング

Oracle Identity Managerへのアイデンティティの登録リクエストはトラッキングできます。現在のステータスが成功を示している場合は、Identity Self Serviceに移動し、ユーザー名とパスワードを入力してログインします。

1. Identity Self Serviceのログイン・ページで、「自分の登録のトラッキング」をクリックします。「リクエストのトラッキング」ページが表示されます。

2. 「トラッキングID」フィールドに、登録リクエストに割り当てられたトラッキングIDを入力します。次に、「送信」をクリックします。登録リクエストのステータスが次の詳細とともに表示されます。

- トラッキング・リクエストID

- リクエストの送信日
リクエストが送信されて承認が実行されていない場合、表示される日付はリクエストの送信日です。いずれの場合も、日付は常に、最終更新日を反映します。

- リクエストの現在のステータス
送信されたすべての自己登録リクエストは、承認を通過して完全に処理される必要があります。

ユーザーがリクエストの現在のステータスをトラッキングすると、ステータスがリクエストが存在するステージの詳細とともに表示されます。ステータスは次のいずれかになります。

- 保留: この状態は、送信されたリクエストの承認が保留中であることを示しています。デフォルトの承認の場合は、次のステータス・メッセージが表示されます。
登録に対するリクエストレベルの承認を取得しています。

リクエスト・レベルの承認が保留中の場合。リクエスト・レベルの承認が取得されると、次のステータス・メッセージが表示されます。

登録に対する操作レベルの承認を取得しています。

- 却下: この状態は、承認時にリクエストが却下されたことを示しています。説明により、却下の事由が示されます。デフォルトの承認レベルの場合は、リクエストがリクエスト承認レベルで却下されると、次のステータス・メッセージが表示されます。
リクエストが却下されました。ヘルプ・デスクに連絡してください。

リクエストが操作レベルまたはリクエスト・レベルで却下されると、次のステータス・メッセージが表示されます。

操作承認が登録を却下されました。

- 完了: この状態は、リクエストが完了したことを示しています。すべてが承認されてリクエストが正常に完了すると、次のステータス・メッセージが表示されます。
リクエストが完了しました。

- 失敗: この状態は、送信時にリクエストが失敗したことを示しています。リクエストの送信が失敗すると、次のステータス・メッセージが表示されます。
リクエストの登録に失敗しました。

3. 別の登録リクエストのステータスを表示するには、「別の登録のトラッキング」をクリックします。
または、「ログインに戻る」をクリックして、ログイン・ページを表示します。

注意:

このページからトラッキングできるのは、自己登録リクエストのステータスのみです。

4 Oracle Identity Self Serviceへのアクセス

ログイン・ページでは、ログインするための機能、およびすべての未認証操作の開始点が提供されます。このページは、Oracle Identity Managerに対してネイティブ認証を実行しないか、またはSSOを使用しないでOracle Identity Self Serviceにアクセスした場合に表示されます。

Identity Self Serviceにログインする前に実行できる一般的なタスクは、次のとおりです。

- Oracle Identity Self Serviceへの接続

- ユーザー・ログインを忘れた場合の取得

- 忘れたパスワードのリセット

4.1 Oracle Identity Self Serviceへの接続

Oracle Identity Self Serviceにログインする手順は、次のとおりです。

注意:

- Oracle Identity Managerがネイティブ認証をサポートするよう構成されている場合に「ログイン」リンクをクリックすると、Oracle Identity Managerのユーザー名とパスワードを使用して認証できるフォームにリダイレクトされます。

- Oracle Identity Managerがシングル・サインオン(SSO)をサポートするよう構成されている場合に「ログイン」リンクをクリックすると、SSOアプリケーションのログイン・ページにリダイレクトされます。

1. Identity Self Serviceのログイン・ページに移動します。

2. 「ユーザーID」フィールドに、ユーザー名を入力します。

3. 「パスワード」フィールドに、パスワードを入力します。

4. 「サインイン」をクリックします。認証が正常に行われるとログインし、認証されたコンテキストのメイン・ページに移動します。
次の理由により、ログイン操作でエラーとなる場合があります。

- 不正な資格証明: 入力したユーザー名およびパスワードが正しくない場合、エラー・メッセージが表示されます。次の理由が考えられます。

- ユーザー名が存在しない

- パスワードが正しくない

- ユーザー名は存在するがユーザーが削除されている

- ロックされたアカウント: アカウントがロックされた場合は、資格証明が正しくてもログインできません。

- 無効なユーザー: ユーザー・アカウントが無効になっている場合は、ログインできません。

5. パスワードが期限切れの場合は、「パスワードの変更」フォームが表示されます。パスワードを変更しないとコンソールのメイン・ページに進むことはできません。新しいパスワードを入力し、「サインイン」をクリックします。

6. システムがチャレンジ・レスポンスを指定するよう要求してきた場合は、チャレンジ・レスポンスを指定して「送信」をクリックします。
または、「取消」をクリックして、チャレンジ質問の設定を回避し、Identity Self Serviceにログオンすることもできます。チャレンジ質問を設定することで、ヘルプデスクに連絡することなくパスワードをリセットできます。これらのチャレンジ質問は、一意の質問および回答のセットです。チャレンジ質問および回答の設定の詳細は、「チャレンジ質問および回答の設定」を参照してください。

たとえば、「保留中の承認」ページへのアクセスを試行し、まだログインしていない状態で、リンクから保留中の承認を確認している場合は、ログイン・ページにリダイレクトされます。この項で説明しているログイン手順に従ってOracle Identity Managerにログインします。ただし、Identity Self Serviceのメイン・ページではなく、アクセスを試行している「保留中の承認」ページに移動します。

4.2 ユーザー・ログインを忘れた場合の取得

ユーザー・ログインを忘れた場合は、次の手順を実行して取得できます。

1. Identity Self Serviceのログイン・ページで、「ユーザー・ログインを忘れた場合」をクリックします。ユーザー・ログインを忘れた場合ページが表示されます。

2. 「電子メール・アドレス」フィールドで、ユーザー・ログインに関連付けられた電子メール・アドレスを入力します。

3. 「送信」をクリックします。指定された電子メール・アドレスに、追加の説明が記載された電子メールが送信されます。
間違った電子メール・アドレスを入力すると、指定した電子メール・アドレスが存在しないことを示すエラー・メッセージが表示されます。

4.3 忘れたパスワードのリセット

忘れたパスワードをリセットするには、次の手順を実行します。

1. Identity Self Serviceのログイン・ページで、「パスワードを忘れた場合」をクリックします。パスワードを忘れた場合ページが表示されます。

2. 「ユーザー・ログイン」フィールドで、ユーザー名を入力して、Oracle Identity Managerでユーザー・レコードを見つけます。次に、「次」をクリックします。「チャレンジ質問に回答してください」ページが表示されます。

3. このステップでは、ユーザー・アイデンティティを確認するために、ユーザー登録時に設定したチャレンジ質問がウィザードに表示されます。チャレンジ質問の回答を入力し、「次」をクリックします。「新規パスワードを入力してください」ページが表示されます。

4. このステップでは、設定する新しいパスワードを入力し、「保存」をクリックします。次の結果が考えられます。

- 入力したユーザー名がOracle Identity Managerで検出されないと、ユーザー・アカウントが不正であることを示すエラー・メッセージが表示されます。

- 指定したチャレンジ・レスポンスが、ユーザー登録時に設定したものと一致しない場合は、「正しく回答された質問の数が必要な正答数と一致しません。」というエラー・メッセージが表示されます。

- アイデンティティの検証基準(つまり、本人の識別およびチャレンジ質問への回答)を満たしていても、構成したパスワード・ポリシーを新しいパスワードが満たしていないと、エラー・メッセージとともにパスワード・ポリシーの詳細が表示されます。

- アイデンティティの検証基準を満たしており、パスワードが正常に設定されていると、次のページに「パスワードが変更されました。」というメッセージが表示されます。これにより、(管理者が手動でロックしたのではなく)本人によってロックされていた場合には、ユーザー・アカウントのロックが解除されます。「ログインに戻る」をクリックしてログイン画面を表示し、この画面からOracle Identity Managerにログインできます。

5 セルフ・サービスのパーソナライズ

この章では、Oracle Identity Self Serviceのパーソナライズ機能について説明します。この章には次の項目があります。

- 「ホーム」ページのパーソナライズ

- 検索基準の属性の追加および削除

- 検索結果のパーソナライズ

- 保存された検索の使用

- 検索結果のデータのソート

- 例による問合せの使用

注意:

セルフ・サービスのパーソナライズはすべてのユーザーに許可されており、ユーザーごとに適用できます。つまり、あるユーザーに対して保存されたパーソナライズは、他のユーザーがIdentity Self Serviceにログインする場合には適用されません。

5.1 「ホーム」ページのパーソナライズ

「ホーム」ページには、Identity Self Serviceの様々な機能のスナップショットがあります。「ホーム」ページのパーソナライズ(コンテナの並替えやコンテナの非表示など)はすべて自動的に保存されます。「ホーム」ページをパーソナライズした後、Identity Self Serviceからログアウトし、再度ログインすると、「ホーム」ページで行ったすべての変更が保持されています。他のユーザーがIdentity Self Serviceにログインすると、そのログイン・ユーザーには「ホーム」ページのデフォルト設定が表示されます。

「ホーム」ページは次の方法でパーソナライズできます。

- コンテナの追加

- コンテナの編集

- コンテナの削除

- コンテナの移動

- 「ホーム」ページのレイアウトの変更

5.1.1 コンテナの追加

「ホーム」ページにコンテナを追加する手順は、次のとおりです。

1. Identity Self Serviceにログインし、「ホーム」ページにナビゲートします。

2. 左側のナビゲーション・ペインにある「ホーム」をクリックします。「ホーム」ページが表示されます。

3. 「パーソナライズ」をクリックします。「ホーム」がカスタマイズ・モードで複数のアイコンを含むツールバーとともに表示されます。

4. ツールバーの「ボックスを上に追加」アイコンをクリックします。図5-1に、ツールバーの「ボックスを上に追加」アイコンを示します。

図5-1 ツールバーの「ボックスを上に追加」アイコン

「図5-1 ツールバーの「ボックスを上に追加」アイコン」の説明

ボックスをコンテナの下、右または左に追加するには、そのコンテナにある各アイコンをクリックします。

アイコンをクリックすると、図5-2に示すように、コンテナが「ホーム」ページに追加されます。

図5-2 新しいコンテナ

「図5-2 新しいコンテナ」の説明

5. 上部のナビゲーション・バーにある「閉じる」をクリックして、カスタマイズ・モードを終了します。

注意:

コンテナの追加後には、それを使用するためのUIコンポーネントを追加する必要があります。UIコンポーネントをコンテナに追加する方法については、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』の「ホーム」ページのカスタマイズに関する説明を参照してください。

5.1.2 コンテナの編集

「ホーム」ページのコンテナを編集する手順は、次のとおりです。

1. 次の図に示すように、編集するコンテナで、ツールバーの「編集」アイコンをクリックします。

図5-3に示すように、「子コンポーネント」タブがアクティブになった状態で「コンポーネント・プロパティ」ダイアログ・ボックスが表示されます。

図5-3 「コンポーネント・プロパティ」ダイアログ・ボックス

「図5-3 「コンポーネント・プロパティ」ダイアログ・ボックス」の説明

2. 上下の矢印を使用して、コンテナのコンポーネントを上または下に移動します。

3. 非表示にするコンポーネントの選択を解除します。コンテナには選択したコンポーネントのみが表示されます。

4. 「スタイル」タブをクリックします。このタブで、コンテナのプロパティ(背景色やイメージ、フォント・プロパティ、マージンなど)を変更できます。

5. 「適用」をクリックした後、「OK」をクリックします。

5.1.3 コンテナの削除

「ホーム」ページからコンテナを削除する手順は、次のとおりです。

1. 次の図に示すように、編集するコンテナで、「削除」アイコンをクリックします。

確認を求めるメッセージが表示されます。

2. 「削除」をクリックします。「ホーム」ページからコンテナが削除されます。

5.1.4 コンテナの移動

「ホーム」ページのコンテナを移動する手順は、次のとおりです。

1. 「ホーム」ページでコンテナを上下に移動するには、コンテナの上にある下向き矢印アイコンをクリックし、「上に移動」または「下に移動」を選択します。
カスタマイズ・モードと非カスタマイズ・モードの両方で、下向き矢印アイコンを使用して、コンテナを上下に移動できます。

2. 「ホーム」ページ内の別の場所にコンテナを移動するには、図5-4に示すように、カスタマイズ・モードで、コンテナを目的の場所にドラッグ・アンド・ドロップします。

図5-4 コンテナのドラッグ・アンド・ドロップ

「図5-4 コンテナのドラッグ・アンド・ドロップ」の説明

5.1.5 「ホーム」ページのレイアウトの変更

「ホーム」ページのレイアウトを変更する手順は、次のとおりです。

1. 図5-5に示すように、「ホーム」ページの右上にある「レイアウトの変更」アイコンをクリックします。

図5-5 「ホーム」ページのレイアウト

「図5-5 「ホーム」ページのレイアウト」の説明

カスタマイズ・モードになっている場合は、「レイアウトの変更」をクリックします。

デフォルトでは現在のレイアウトが選択されます。

2. 下に展開される領域から1列や2列などのレイアウトを選択して、レイアウトを変更します。
カスタマイズ・モードになっている場合は、「保存」をクリックし、「閉じる」をクリックします。

選択したレイアウトの「ホーム」ページが表示されます。

5.2 検索基準の属性の追加および削除

Identity Self Serviceでは、「ユーザー」ページや「ロール」ページなどの様々なページのレコードを検索できます。検索の実行権限に基づいて、ページ検索のデフォルト属性が用意されています。このデフォルトの検索属性には、検索の実行権限に基づいて、他の検索属性を追加することもできます。

検索基準に属性を追加する手順は、次のとおりです。

1. 検索オプションを指定して、Identity Self Serviceのページ(「ユーザー」ページ、「ロール」ページなど)にナビゲートします。たとえば、「ロール」ページを開くには、「管理」の下で「ロール」をクリックします。

2. 「フィールドの追加」をクリックします。検索基準に追加できる属性のリストが表示されます。

3. リストの属性(「ロールの説明」など)を選択します。選択した属性が「検索」セクションに追加されます。

「検索」セクションに追加した属性には「X」アイコンが表示されます。検索基準から属性を削除するには、この「X」アイコンをクリックします。

5.3 検索結果のパーソナライズ

検索結果のパーソナライズは、検索結果表の列として表示される検索属性の表示/非表示を切り替えて行います。また、検索結果表に表示される列の順序を変えることもできます。

検索結果をパーソナライズする手順は、次のとおりです。

1. 検索結果表の列の表示/非表示を切り替える手順は、次のとおりです。

1. 検索結果ページのツールバーで、「ビュー」をクリックし、「列」を選択します。検索結果表の列名のリストが表示されます。すでに検索結果表に表示されている列名には、チェック・マークが付いています。

2. 検索結果表に表示する場合は列名を選択し、非表示にする場合は列名を選択解除します。
または、「列の管理」をクリックして、「列の管理」ダイアログ・ボックスを表示します。このダイアログ・ボックスでは、「非表示列」と「表示される列」の各リストから列名を移動して、列の表示/非表示を切り替えることができます。終了したら、「OK」をクリックします。

2. 検索結果表の順序または列を変更する手順は、次のとおりです。

1. 検索結果ページのツールバーで、「ビュー」をクリックし、「列の並替え」を選択します。「列の並替え」ダイアログ・ボックスが表示されます。

2. 「表示される列」リストで、リストの右側にある矢印キーを使用して列名を上下に移動します。列はここに指定した順序で表示されます。

3. 「OK」をクリックします。

5.4 保存された検索の使用

ユーザーやロールなどのエンティティの検索は、検索基準を指定して行います。その検索基準には、自分で追加した検索属性や他の検索条件も含まれます。類似のレコードを検索する場合、検索基準を毎回指定するかわりに、検索を保存しておくことで、レコードの検索用に保存された検索を使用することができます。

この項には次のトピックが含まれます:

- 保存された検索の作成

- 保存された検索のパーソナライズ

- 保存された検索の削除

- 保存された検索を使用した検索操作の実行

5.4.1 保存された検索の作成

検索を保存するには、次のようにします。

1. 検索基準を指定して検索を実行します。

2. 「保存」をクリックします。「保存された検索の作成」ダイアログ・ボックスが開きます。

3. 「名前」フィールドに、その検索の名前を入力します。

4. 次のオプションを1つ以上選択します。

- デフォルトとして設定: このオプションを選択すると、その保存された検索がページのデフォルト検索として設定されます。

- 自動的に実行: このオプションを選択すると、そのページを開いたときに、保存された検索が実行されます。

- 検索結果のレイアウトの保存: このオプションを選択すると、検索結果表での列の表示/非表示など、検索結果のレイアウトが保存されます。

5. 「OK」をクリックします。指定した名前で検索が保存されます。
保存された検索の名前は「検索」セクションの右上にある「保存された検索」リストに表示されます。この保存された検索を選択して、検索を実行できます。「デフォルトとして設定」オプションを選択した場合は、保存された検索がデフォルト検索として表示されます。

5.4.2 保存された検索のパーソナライズ

保存された検索をパーソナライズする手順は、次のとおりです。

1. 「保存された検索」リストから、「パーソナライズ」を選択します。「保存された検索のパーソナライズ」ダイアログ・ボックスが表示されます。

2. 「保存された検索のパーソナライズ」リストから、パーソナライズする保存された検索を選択します。

3. 「名前」フィールドで、保存された検索の名前を編集します。

4. 次のオプションを1つ以上選択します。

- デフォルトとして設定: このオプションを選択すると、その保存された検索がページのデフォルト検索として設定されます。

- 自動的に実行: このオプションを選択すると、そのページを開いたときに、保存された検索が実行されます。

- 検索リストに表示: このオプションを選択すると、保存された検索が「保存された検索」リストに表示されます。

5. 「適用」をクリックした後、「OK」をクリックします。

5.4.3 保存された検索の削除

保存済検索を削除する手順は、次のとおりです。

1. 「保存された検索」リストから、「パーソナライズ」を選択します。「保存された検索のパーソナライズ」ダイアログ・ボックスが表示されます。

2. 「保存された検索のパーソナライズ」リストから、削除する保存された検索を選択します。

3. 「削除」をクリックします。警告メッセージが表示されます。

4. 削除を確認する場合は「はい」をクリックします。

5. 「OK」をクリックして、「保存された検索のパーソナライズ」ダイアログ・ボックスを閉じます。

5.4.4 保存された検索を使用した検索操作の実行

保存された検索の作成時に「デフォルトとして設定」オプションを選択した場合は、ページを開くと、その保存された検索が「保存された検索」リストに表示されます。デフォルトの保存された検索を使用してレコードを検索するときは、「検索」をクリックします。

保存された検索の作成時に「自動的に実行」オプションを選択した場合は、ページを開くと、その保存された検索に基づく検索操作が自動的に実行されます。

「デフォルトとして保存」と「自動的に実行」のどちらのオプションも選択していない場合に、保存された検索を使用して検索を実行するには、「保存された検索」リストから保存された検索を選択します。

5.5 検索結果のデータのソート

検索結果表のデータは昇順または降順にソートできます。検索結果表の列名の上にマウス・ポインタを置くと、上向きと下向きの矢印キーが表示されます。データを昇順でソートする場合は上向き矢印をクリックし、データを降順でソートする場合は下向き矢印をクリックします。

このソート順はセルフ・サービスのプリファレンス設定として復元されます。そのため、ログアウトして再度ログインし、検索を実行すると、検索結果にはソート済のデータが表示されます。ソート順のプリファレンス設定は、ログイン・ユーザーのみに適用されます。他のユーザーの検索結果表には、デフォルト設定で表示されます。

5.6 例による問合せの使用

セルフ・サービスの多くのページには、データが表形式で表示されます。また、数百のロールとリソース、および数千のエンティティをユーザーにプロビジョニングできます。大量のレコードを参照する場合は、検索結果から特定のロール、リソースおよび権限を見つけるために、複数のページをスクロールする必要があります。このとき、例による検索機能を使用すると、追加のフィルタを指定して検索結果を絞り込むことができます。Oracle Identity Managerでは、この機能を必要に応じて有効にしたり無効にすることができます。

大量のレコードを含むリストの中から少量のレコードを検索する場合は、例による問合せを使用して検索を絞り込みます。手順は次のとおりです。

1. 検索結果表のツールバーで、「ビュー」をクリックし、「例による問合せ」を選択します。検索結果表の各列の上にテキスト・フィールドが表示されます。

2. 列のテキスト・フィールドに値を入力します。たとえば、「Disabled」ステータスのユーザーを検索するように絞り込むには、「ステータス」列の上にあるテキスト・フィールドに「Disabled」と入力します。
または値をすべて入力せずに、Diのように、検索する値の一部の文字を入力することもできます。これで「Disabled」ステータスのユーザーが表示されます。「D」を値として入力すると、「Disabled」または「Deleted」のユーザーが表示されます(これは「Disabled」と「Deleted」のステータスがどちらも「D」の文字で始まるためです)。

3. [Enter]を押します。次の図に示すように、例による問合せの値に一致するすべてのレコードが表示されます。

図5-6 例による問合せ

「図5-6 例による問合せ」の説明

4. 例による問合せを無効にするには、「ビュー」をクリックし、「例による問合せ」を選択します。

6 プロファイル情報の管理

Oracle Identity Self Serviceの「本人情報」ページでは、個人の詳細を表示および変更できます。

「本人情報」ページを開く手順は、次のとおりです。

1. Identity Self Serviceにログインします。

2. 左ペインの「マイ・プロファイル」の下で、「本人情報」をクリックします。
「本人情報」ページに、プロファイル属性の変更、パスワードの変更、チャレンジ質問の設定、直属の部下とその属性の表示、プロキシ・ユーザーの表示と変更のセクションが表示されます。

「本人情報」ページには、次のセクションがあります。

- プロファイル属性の管理

- パスワードの変更

- チャレンジ質問および回答の設定

- 直属の部下の表示

- プロキシの管理

6.1 プロファイル属性の管理

「本人情報」ページを開くと、「基本ユーザー情報」セクションに自分のプロファイル属性が表示されます。デフォルトでこのセクションが開いていない場合は、「基本ユーザー情報」セクションの横にある矢印アイコンをクリックしてこのセクションを開きます。

編集可能属性は、編集可能テキスト・ボックスまたは適切なUIウィジェット(参照フィールドなど)に表示されます。新しい値を入力して「適用」ボタンをクリックし、変更内容を送信します。

プロファイルの更新が送信されると、プロファイルを更新するためのリクエストが作成され、メッセージとリクエストのトラッキング番号が表示されます。ワークフロー・ルールによって、属性の変更を許可する前に承認を開始して取得する承認ワークフローが決定します。リクエストのステータスは、Identity Self Serviceの「リクエストのトラッキング」ページに表示されます。リクエストおよびトラッキングの詳細は、第9章「リクエストの管理」を参照してください。

注意:

ユーザーのUI用の言語プリファレンスは、「セルフ・サービス」の「基本ユーザー情報」セクションでユーザーが指定するロケールに応じて設定されません。UIロケールは、Oracle Fusion Middleware Oracle Identity Manager管理者ガイドのユーザーの言語の設定に関する項で説明されているとおりに決定されます。

プロファイル属性を変更するリクエストを送信した後、「基本ユーザー情報」の横にある下向き矢印アイコンをクリックしてこのセクションを閉じます。

6.2 パスワードの変更

「パスワードの変更」セクションで、プロビジョニングされているエンタープライズ・パスワードまたはターゲット・システム・アカウントのパスワード(たとえば、Microsoft Active Directoryアカウント)をリセットできます。新しいパスワードを指定するには、新しいパスワードを入力し、そのパスワードを再確認します。新しいパスワードが、適用可能なパスワード・ポリシーに準拠しているかどうかが評価されます。新しいパスワードがパスワード・ポリシーに準拠していない場合は、パスワードの変更が却下され、失敗の状況が通知されます。パスワードがすべてのポリシーと照合して正常と評価された場合は、パスワードが変更されます。

パスワードを変更する手順は次のとおりです。

1. 「本人情報」ページで、「パスワードの変更」セクションを開きます。

2. 「アカウント・タイプ」リストで、次のいずれかのオプションを選択します。

- Oracle Identity Manager - Oracle Identity Managerのパスワードがリセットされることを指定します。

- ターゲット・システム・アカウント - 選択されているターゲット・システム・アカウントのパスワードがリセットされることを指定します。たとえば、Microsoft Active DirectoryとLotus Notes and Dominoの両方にプロビジョニングされていて、Lotus Notes and Dominoアカウントのパスワードをリセットする場合は、「Lotus Notes and Domino」を選択します。

3. 前の手順で「Oracle Identity Manager」を選択している場合は、次のフィールドに値を指定します。

- 旧パスワード: 既存のパスワードを入力します。

- 新規パスワード: 設定する新しいパスワードを入力します。「新規パスワード」フィールの右側のアイコンをクリックします。パスワードを設定する条件のリストが表示されます。これらの条件はパスワード・ポリシーで指定されており、パスワードを指定する条件に準拠する必要があります。

- 新規パスワードの確認: 新しいパスワードを再度入力します。

パスワード・ポリシーの詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のパスワード・ポリシーの管理に関する説明を参照してください。

4. 手順2でターゲット・システム・アカウントを選択している場合は、次のフィールドで値を指定します。

- 新規パスワード: 設定する新しいパスワードを入力します。「新規パスワード」フィールの右側のアイコンをクリックします。パスワードを設定する条件(ターゲット・システム上で指定される)のリストが表示されます。ターゲット・システム上でパスワードを設定する条件が使用可能でない場合は、エンタープライズ・アカウント用に設定されている条件が表示されます。これらの条件はパスワード・ポリシーで指定されており、パスワードを指定する条件に準拠する必要があります。

- 新規パスワードの確認: 新しいパスワードを再度入力します。

パスワード・ポリシーの詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のパスワード・ポリシーの管理に関する説明を参照してください。

5. 「適用」をクリックします。旧パスワードが有効で、新しいパスワードがパスワード・ポリシーに準拠している場合、パスワードは変更されます。有効でない場合は、エラー・メッセージが表示されます。

6.3 チャレンジ質問および回答の設定

チャレンジ/レスポンス・サービスを使用すると、忘れたパスワードをリセットするために、ユーザーのアイデンティティの検証に使用する一連のチャレンジ質問を設定できます。チャレンジ質問に対する正しい回答は、そのユーザーのみが認識している必要があります。

質問と回答は、名前と値のペア・リスト(名前は質問、値はその質問に対する回答)で、ユーザーのプロファイルの一部として格納されます。たとえば、ユーザーJohn Doeの場合、チャレンジ-回答のセットは次のようになります。

チャレンジ

レスポンス

好きな色は何ですか。

青

ペットの名前は何ですか。

Rex

出生地はどこですか。

New York

注意:

チャレンジ質問に対する回答は、そのユーザーに関する情報をインターネットまたは公的なソースから収集して容易に推測できないように定義することをお薦めします。

ユーザーのアイデンティティを認証スキームに依存せずに検証する必要がある場合は、チャレンジ質問が表示され、ユーザーは必要な数の正しい回答を入力する必要があります。

チャレンジ質問および回答を設定する手順は、次のとおりです。

1. 「本人情報」ページで、「チャレンジ質問」セクションを開きます。

2. 「質問1」、「質問2」および「質問3」フィールドから質問を選択します。

3. 対応する「回答1」、「回答2」および「回答3」フィールドで、回答を入力します。

4. 「適用」をクリックします。

注意:

一度設定したチャレンジ質問および回答は、このセクションには表示されません。「チャレンジ質問」セクションに次のメッセージが表示される場合、チャレンジ質問および回答は設定済です。

秘密の質問および回答はすでに設定されています。

設定済のチャレンジ質問および回答は、この項の前半で説明されている手順を実行することで変更できます。

6.4 直属の部下の表示

「本人情報」ページの「直属の部下」セクションに、管理の階層での直属の部下のユーザーが表形式でリストされます。このセクションでは、各直属の部下の詳細を表示できます。リスト内の各ユーザーに関して、次の情報が表示されます。

- 表示名

- ユーザー・ログイン

- アイデンティティ・ステータス

- 組織

ヒント:

「ユーザーの詳細」ページの「属性」タブを使用して、組織に対してユーザーを追加または削除できます。

直属の部下としてユーザーが多数いる場合、例による問合せ機能を使用して直属の部下の問合せおよび検索を実行できます。例による問合せ機能の詳細は、「例による問合せの使用」を参照してください。

6.4.1 直属の部下の表示と変更

直属の部下を表示および変更する手順は、次のとおりです。

1. 「本人情報」ページで、「直属の部下」セクションを開きます。

2. 直属の部下のレコードをクリックして、ユーザーまたは直属の部下を選択します。

3. 「アクション」メニューから「開く」を選択します。または、ツールバーにある「開く」アイコンをクリックします。ユーザーの詳細が、新規のタブに表示されます。このタブでは、「属性」、「ロール」、「権限」および「アカウント」などの様々なサブタブにユーザーの詳細が表示されます。各タブをクリックして、ユーザーの詳細を確認できます。
直属の部下のユーザーの詳細を開くと、そのユーザーに関する特定のタスク(ユーザーのパスワードのリセット、ユーザーのアカウントのロック解除またはロックなど)を実行できます。開かれているユーザーの直属の部下のユーザーの詳細を表示して、直属の部下であるユーザーに関する特定のタスクを実行できます。詳細は、「ユーザーの変更」を参照してください。

6.5 プロキシの管理

「本人情報」ページの「プロキシ」セクションでは、プロキシ情報を表示および管理できます。Oracle Identity Manager内に現在設定されているプロキシが表示され、以前設定したプロキシを表示することもできます。「過去のプロキシ」ビューは、過去に追加されたすべてのプロキシを表示します。読取り専用のため、変更はできません。

既存のプロキシ・ビューでは、開始日が将来の今後のプロキシを取り消すことができます。開始日が過去で、終了日が将来か指定されていない進行中のプロキシは、終了日のみを編集できます。

「現行のプロキシ」セクションで、新しいプロキシを追加することもできます。新しいプロキシを追加する場合は、開始日、終了日およびプロキシ・ユーザーを指定する必要があります。

この項には次のトピックが含まれます:

- プロキシの追加

- プロキシの編集

- プロキシの削除

6.5.1 プロキシの追加

プロキシを追加する手順は、次のとおりです。

1. 「本人情報」ページで、「プロキシ」セクションを開きます。
「現在」セクションには、現在プロキシとして設定されているユーザーのリストが表示されます。「過去」セクションには、過去のプロキシのリストが表示されます。

2. 「現在」セクションで、「アクション」メニューから「追加」を選択します。または、ツールバーにある「追加」をクリックします。
「プロキシの追加」ダイアログ・ボックスが表示されます。

3. 「プロキシ名」の場合、次のいずれかを選択します。

- マネージャ: プロキシとしてマネージャを指定します。

- 他のユーザー: プロキシとして他のユーザーを指定します。これを行うには、参照アイコンをクリックして、プロキシとして指定するユーザーを検索します。

4. 「開始日」フィールドに、開始日を指定します。これを行うには、「開始日」フィールドの右側にある「日付の選択」アイコンをクリックし、カレンダから日時を選択します。

5. 「終了日」フィールドに、終了日を指定します。

6. 「適用」をクリックします。「プロキシ」セクションのプロキシ・リストに、プロキシが追加されます。

注意:

Oracle Identity Managerでは、既存のプロキシと開始日および終了日が重複している別のプロキシを追加することはできません。

6.5.2 プロキシの編集

プロキシを編集する手順は、次のとおりです。

1. 「現在」セクションで、編集するプロキシを選択します。

2. 「アクション」メニューから、「編集」を選択します。または、ツールバーにある「編集」をクリックします。
「詳細の編集」ダイアログ・ボックスが表示されます。

3. 「プロキシ名」フィールドで「マネージャ」を選択し、プロキシとしてマネージャを指定します。それ以外の場合は、「他のユーザー」を選択し、プロキシとして他のユーザーを指定します。ユーザー名を検索できます。

注意:

- プロキシ・ユーザーを変更する際に検索できるのは、検索権限があるユーザーのみです。

- 進行中の状態にあるプロキシの「プロキシ名」フィールドは変更できません。

4. 必要に応じて、「開始日」フィールドおよび「終了日」フィールドで、更新された日付を指定します。

注意:

進行中の状態にあるプロキシの「開始日」フィールドは変更できません。

5. 「適用」をクリックします。編集したプロキシ情報が保存されます。

6.5.3 プロキシの削除

プロキシを削除する手順は、次のとおりです。

1. 「現在」セクションで、削除するプロキシを選択します。

2. 「アクション」メニューで、「削除」を選択します。または、ツールバーにある「削除」をクリックします。
現在のプロキシを削除すると、その終了日が削除された日付として設定され、将来のプロキシを削除すると、それがシステムから削除されます。

すべてのプロキシを削除するには、ツールバーにある「すべて削除」をクリックするか、または「アクション」メニューで「すべて削除」を選択します。

確認を求めるメッセージが表示されます。

3. 「はい」をクリックします。選択したプロキシは、「現在」セクションから削除されます。

7 アクセスの管理

Oracle Identity Managerでは、ロール、権限、アカウント、ポリシーおよび管理ロールなどのエンティティへのアクセス権があります。これらのエンティティへのアクセス権は、認可ポリシーによって管理されます。認可ポリシーの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のセキュリティ・アーキテクチャに関する説明を参照してください。

自分がアクセス権を持っているエンティティが、Oracle Identity Self Serviceの「マイ・アクセス」セクションに表示されます。次の項目では、「マイ・アクセス」セクションで実行する一般的なタスクについて説明します。

- ロールの管理

- 権限の管理

- アカウントの管理

- 管理ロールの表示

ヒント:

ロール、権限およびアカウントなどのエンティティの追加と削除には、承認を条件とするリクエストが使用されます。エンティティへのアクセス権を管理するステップを実行する前に、Oracle Identity Managerでのリクエストの詳細について第9章「リクエストの管理」を参照してください。

7.1 ロールの管理

自分に割り当てられているロールが、「マイ・アクセス」セクションの「ロール」タブに表示されます。このタブでは、次のタスクを実行できます。

- ロールのリクエスト

- ロールの詳細の変更

- ロールの削除

7.1.1 ロールのリクエスト

「マイ・アクセス」ページからロールをリクエストする手順は、次のとおりです。

1. Identity Self Serviceにログインします。

2. 「マイ・プロファイル」で、「マイ・アクセス」をクリックします。「マイ・アクセス」ページが表示されます。

3. 「ロール」タブをクリックします。自分に割り当てられているロールのリストが表示されます。

注意:

「マイ・アクセス」ページのすべてのタブで、例による問合せを使用して検索を絞り込むことができます。例による問合せの使用の詳細は、「例による問合せの使用」を参照してください。

4. 「アクション」メニューで、「リクエスト」を選択します。または、ツールバーにある「ロールのリクエスト」をクリックします。
「カタログ」ページが表示されます。「カタログ」ページを使用してリクエストを作成できます。リクエスト・カタログ、および「カタログ」ページでリクエストを作成する方法の詳細は、「リクエストの作成」を参照してください。

自分のロールのリクエストを送信する場合、そのリクエストがすべての承認レベルで承認されていれば、ロールが割り当てられます。

7.1.2 ロールの詳細の変更

選択したロールの変更は、そのロールが公開されている組織のロール管理者であるユーザーのみが行えます。ユーザーのロールが異なる場合、またはユーザーがエンドユーザーである場合、ロールの詳細しか表示できません。

自分に割り当てられているロールの詳細を変更する手順は、次のとおりです。

1. 「マイ・アクセス」ページの「ロール」タブで、詳細を変更するロールを選択します。

2. 「アクション」メニューから「開く」を選択します。または、ツールバーにある「開く」をクリックします。
ロール: ROLE_NAMEページに選択したロールの詳細が表示されます。このページでは、ロール属性、ロール階層、ロール・メンバーシップを変更し、ロールを組織に公開できます。これらのタスクの詳細は、「ロールの管理」を参照してください。

7.1.3 ロールの削除

自分に割り当てられているロールを削除する手順は、次のとおりです。

1. 「マイ・アクセス」ページの「ロール」タブで、削除するロールを選択します。

2. 「アクション」メニューで、「削除」を選択します。または、ツールバーにある「ロールの削除」をクリックします。「ロールの削除」カタログ・ページが表示されます。

3. リクエストを送信してロールを削除します。リクエストが承認されるとロールは削除されます。

7.2 権限の管理

自分に割り当てられている権限が、「マイ・アクセス」ページの「権限」タブに表示されます。このタブでは、次のタスクを実行できます。

- 権限のリクエスト

- 権限の削除

7.2.1 権限のリクエスト

権限をリクエストする手順は、次のとおりです。

1. 「マイ・アクセス」ページで、「権限」タブをクリックします。自分に割り当てられている権限のリストが表示されます。

注意:

Oracle Identity Manager 11gリリース2(11.1.2.1.0)のアップグレードされたデプロイメントでは、「権限」タブにアップグレードが表示される前に、権限がユーザーにプロビジョニングされます。アップグレード後、「権限」タブに権限を表示するには、Oracle Identity System Administrationにログインし、スケジュール済ジョブの「権限割当て」を実行します。スケジュール済ジョブの「権限割当て」の詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』の「事前定義済のスケジュール済タスク」を参照してください。

2. 「アクション」メニューで、「リクエスト」をクリックします。または、ツールバーにある「権限のリクエスト」をクリックします。「カタログ」ページが表示されます。

3. 「カタログ」ページからリクエストを送信します。リクエストが承認されると権限が割り当てられます。
リクエストの作成の詳細は、「リクエストの作成」を参照してください。

7.2.2 権限の削除

自分に割り当てられている権限を削除する手順は、次のとおりです。

1. 「権限」タブで、削除する権限を選択します。

2. 「アクション」メニューで、「削除」を選択します。または、ツールバーにある「権限の削除」をクリックします。「カタログ」ページが表示されます。

3. リクエストを送信して権限を削除します。リクエストが承認されると権限は削除されます。

7.3 アカウントの管理

自分に割り当てられているアカウントが、「マイ・アクセス」ページの「アカウント」タブに表示されます。このタブでは、次のタスクを実行できます。

- アカウントのリクエスト

- アカウントの変更

- アカウントの削除

- アカウントの無効化

- アカウントの有効化

7.3.1 アカウントのリクエスト

アカウントをリクエストする手順は、次のとおりです。

1. 「マイ・アクセス」ページで、「アカウント」タブをクリックします。自分に割り当てられているアカウントのリストが表示されます。

2. 「アクション」メニューで、「リクエスト」をクリックします。または、ツールバーにある「アカウントのリクエスト」をクリックします。「カタログ」ページが表示されます。

3. 「カタログ」ページからリクエストを送信します。リクエストが承認されるとアカウントが割り当てられます。
リクエストの作成の詳細は、「リクエストの作成」を参照してください。

注意:

1つのリクエストで権限とアプリケーション・インスタンスの両方をリクエストする場合、権限をプロビジョニングする時点で受益者がプロビジョニングされたアカウントを持っていないと、権限のプロビジョニングは失敗します。ただし、アプリケーション・インスタンスのプロビジョニングは成功します。このため、1つのリクエストで権限とアプリケーション・インスタンスの両方をリクエストする場合には、権限が保存されているターゲットにプロビジョニングされたプライマリ・アカウントを持っている必要があります。

7.3.2 アカウントの変更

自分に割り当てられているアカウントを変更する手順は、次のとおりです。

1. 「アカウント」タブで、変更するアカウントを選択します。

2. 「アクション」メニューで、「変更」を選択します。または、ツールバーにある「アカウントの変更」をクリックします。「カタログ」ページが表示されます。

3. アカウントの属性を編集して、「カタログ」ページからリクエストを送信します。リクエストが承認されるとアカウントが変更されます。

7.3.3 アカウントの削除

自分に割り当てられているアカウントを削除する手順は、次のとおりです。

1. 「アカウント」タブで、削除するアカウントを選択します。

2. 「アクション」メニューで、「削除」を選択します。または、ツールバーにある「アカウントの削除」をクリックします。「カタログ」ページが表示されます。

3. リクエストを送信してアカウントを削除します。リクエストが承認されるとアカウントは削除されます。

7.3.4 アカウントの無効化

アカウントを無効化する手順は、次のとおりです。

1. 「アカウント」タブで、無効化するアカウントを選択します。

2. 「アクション」メニューで、「無効化」を選択します。または、ツールバーにある「無効化」を選択します。「カタログ」ページが表示されます。

3. リクエストを送信してアカウントを無効化します。リクエストが承認されるとアカウントは無効化されます。

7.3.5 アカウントの有効化

アカウントを有効化する手順は、次のとおりです。

1. 「アカウント」タブで、有効化するアカウントを選択します。

2. 「アクション」メニューで、「有効化」を選択します。または、ツールバーにある「有効化」を選択します。「カタログ」ページが表示されます。

3. リクエストを送信してアカウントを有効化します。リクエストが承認されるとアカウントは有効化されます。

7.4 管理ロールの表示

自分に付与されている管理権限が、「マイ・アクセス」ページの「管理ロール」タブに表示されます。各エンティティで実行できる操作は、管理ロールによって決定されます。これは、組織および管理ロールに基づいた認可ポリシーによって管理されます。Oracle Identity Managerでの管理ロールおよび認可の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のセキュリティ・アーキテクチャに関する説明を参照してください。

8 アクセス・リクエスト・カタログの使用

Oracle Identity Managerは、ロール、アプリケーション・インスタンス、権限などのエンティティのリクエストをサポートしています。これらのエンティティのリクエストには、アクセス・リクエスト・カタログを使用します。リクエスト可能なエンティティがすべてこのカタログに公開されるので、このカタログからエンティティをリクエストできます。公開とは、特定の組織のユーザーがリクエストまたはプロビジョニングできるように、エンティティを利用可能にすることを示す用語です。Viewer管理ロールが付与されている組織のユーザーは、リクエスト・カタログからエンティティをリクエストできます。さらにユーザーは、ホーム組織に公開されているエンティティをリクエストできます。

このセクションのトピックは次のとおりです:

- アクセス・リクエスト・カタログでのカタログ項目の表示および変更

- カートに対するカタログ項目の追加および削除

注意:

このマニュアルでは、アクセス・リクエスト・カタログのことをカタログまたはリクエスト・カタログと表現している箇所があります。

8.1 アクセス・リクエスト・カタログでのカタログ項目の表示および変更

権限に基づいてリクエスト・カタログ内でカタログ項目を表示および変更する手順は、次のとおりです。

1. Oracle Identity Self Serviceにログインします。

2. 左ペインの「リクエスト」の「カタログ」をクリックします。「カタログ」ページが表示されます。

3. 表示または変更するカタログ項目を検索します。
「カタログ」フィールドに、検索キーワードを入力し、右の検索アイコンをクリックします。検索結果が表示されます。検索条件に一致するカタログ項目が「カタログ項目」セクションに表示されます。フィルタ処理された検索結果が、検索を実行したユーザーの認可ポリシーに基づいて表示されます。サポートされている検索演算子の詳細は、「サポートされている検索演算子」を参照してください。

4. カタログ項目を表示するには、検索結果でカタログ項目を選択します。カタログ項目の詳細が「詳細情報」セクションに表示されます。

5. カタログ項目を変更するには、「詳細情報」セクションで、カタログ項目の属性を変更し、「適用」をクリックして変更を保存します。表8-1に、「詳細情報」セクションのフィールドをリストします。

注意:

- このフィールドが編集可能な場合は、属性の値を変更できます。詳細情報を変更するために必要な権限が付与されていない場合は、これらのフィールドが読取り専用として表示されます。

- 編集した変更内容を表示するには、ログアウトし、カタログ編集ページに再ログインする必要があります。

表8-1 「詳細情報」セクションのフィールド

フィールド

説明

名前

ベース・エンティティの名前です。

表示名

ベース・エンティティの表示名です。

説明

ベース・エンティティの説明です。

カテゴリ

カタログ項目のカテゴリです。

デフォルトで、カテゴリにはロール、権限またはアプリケーション・インスタンスがあります。このフィールドの値を編集し、ユーザー定義の新規カテゴリを作成できます。次に、この例を示します。

カテゴリがロールだとします。新規カテゴリ(たとえば、My_Roles)を現在のカタログ項目に指定する場合、このフィールドの値をMy_Rolesに変更します。

監査目的

Oracle Identity Analytics (OIA)証明で使用する、任意の関連する値または説明のテキスト・フィールドです。

リスク・レベル

エンティティのリスク・レベルです。

このフィールドに設定できる値は、低リスク、中リスクおよび高リスクです。

ユーザー定義タグ

カタログ項目を説明する任意の値で、以降のエンティティの検索に使用されます。

承認者ユーザー

カタログ項目を承認できるユーザーです。

これは、カタログ項目に対するリクエストの処理中、またはアテステーション中に使用されます。

承認者ロール

カタログ項目を承認できるロールです。

証明者ユーザー

カタログ項目を証明できるユーザーです。

証明者ロール

カタログ項目を証明できるロールです。

履行ユーザー

カタログ項目に対するリクエストを完了または履行できるユーザーです。

履行ロール

カタログ項目に対するリクエストを完了または履行できるロールです。

証明可能

カタログ項目が証明可能かどうかを指定します。

6. 行った変更を元に戻す場合は、「元に戻す」をクリックします。

8.1.1 検索結果の絞込み

カタログ項目の検索後、「アクセス・リクエスト・カタログでのカタログ項目の表示および変更」の説明に従って検索結果を絞り込み、検索の精度を高めることができます。これを行うには、「カタログ」ページの「検索の絞込み」セクションで1つ以上のカテゴリを選択し、これらのカテゴリのカタログ項目を表示します。カテゴリに属している項目をすべて表示したり非表示にするには、「すべて選択」チェック・ボックスを選択または選択解除します。

カテゴリは、リクエスト・カタログ内のエンティティを編成するための方法です。各カタログ項目は1つのカテゴリのみに関連付けられます。カタログのカテゴリには、ロール、権限、アプリケーション・インスタンスなどがあります。たとえば、「カテゴリ」セクションの「権限」を選択すると、権限カテゴリに属するカタログ項目のみが表示されるように、検索結果を絞り込むことができます。

8.1.2 サポートされている検索演算子

キーワードを指定して、カタログ項目のリクエスト・カタログを検索または参照するには、「カタログ」フィールドを使用します。検索キーワードの大/小文字は区別されません。次に、サポートされている検索演算子を示します。

- 1つ以上のキーワード: 検索条件として1つ以上のキーワードを指定できます。
1つのキーワードのサンプル値: administrator

この検索条件では、「administrator」という単語を含むすべてのカタログ項目が検索されます。

複数のキーワードのサンプル値: web administrator

この検索条件では、webとadministratorの単語を含むすべてのカタログ項目が検索されます。この検索の場合、AND演算子が自動的に検索キーワードに適用されます。これは、キーワード間の空白文字がAND演算子として機能するためです。かわりに、&演算子を使用して、AND関係を明示的に表すこともできます。

たとえば、web administratorとweb & administratorは、webとadministratorの両方が含まれているカタログ項目を返します。

- フレーズ検索: 入力したとおりのフレーズが含まれているカタログ項目を検索するには、検索条件を二重引用符(")で囲んで指定する必要があります。
たとえば、"web administrator"として検索すると、「web administrator」というフレーズを含むカタログ項目が返されます。

- OR [|]検索: 検索キーワードのいずれかが含まれるカタログ項目を検索するには、OR [|]演算子を使用します。
サンプル値1: web | administrator

この検索条件では、「web」または「administrator」のいずれかの単語を含むカタログ項目が返されます。

サンプル値2: "vision purchasing" | administrator

この検索条件では、「vision purchasing」というフレーズ、またはadministratorという単語を含むカタログ項目が返されます。

- ワイルドカード検索: 検索操作ではワイルドカードとしてアスタリスク(*)記号を使用できます。ただし、カタログ検索の場合、アスタリスク(*)記号で始まる検索条件またはアスタリスク(*)記号のみで構成される検索条件はサポートされません。
たとえば、admin*を指定すると、administratorやadministrationのようにadminで始まるカタログ項目が返されます。

注意:

- カタログ表内のレコード数が膨大な場合に、ハッシュ記号(#)を使用して、そこにアスタリスク(*)記号を追加するとエラーになります。

- 検索の実行で使用できるのは二重引用符のみです。

8.2 カートに対するカタログ項目の追加および削除

リクエスト・カート(カートとも呼ばれる)には、ユーザーがリクエスト・カタログから選択したカタログ項目のセットがあります。ユーザーはリクエスト・カートにカタログ項目を追加して、ロール、権限およびアプリケーション・インスタンスなどのエンティティに対するリクエストを送信できます。リクエスト・カートはユーザー・セッション間で保持されません。

カタログ項目を追加する手順は、次のとおりです。

1. Identity Self Serviceにログインします。

2. カートに追加するカタログ項目を検索します。カタログ項目を検索する手順については、「アクセス・リクエスト・カタログでのカタログ項目の表示および変更」を参照してください。

3. 必要な場合は、「検索の絞込み」セクションで1つ以上のカテゴリを選択するか選択解除して、検索結果を絞り込みます。カテゴリに属している項目をすべて表示したり非表示にするには、「すべて選択」チェック・ボックスを選択または選択解除します。

4. リクエストするカタログ項目を選択し、「カートに追加」をクリックします。選択したカタログ項目の情報が「詳細情報」セクションに表示されます。
[Ctrl]キーを押しながら項目をクリックし、「選択した項目をカートに追加」をクリックすると、複数の項目を選択することもできます。

5. 「編集」をクリックします。図8-1に示すように、「カートのリクエスト」ダイアログ・ボックスが表示され、カートのカタログ項目のリストが表示されます。

図8-1 カートのリクエスト

「図8-1 カートのリクエスト」の説明

6. カタログ項目を選択して、項目に関する詳細情報を表示します。詳細情報を確認し、カートから項目を削除する場合は、対応する項目の「削除」をクリックします。
または、「すべて削除」して、すべての項目をカートから削除することもできます。

9 リクエストの管理

Oracle Identity Managerでは、ロールの自身への追加やアプリケーション・インスタンスのプロビジョニングなどの様々な操作が、リクエストを介して実行されます。リクエストは特定のアクションを実行するユーザーまたは管理者が作成したエンティティで、アクションを実行するには、誰かまたはなんらかのプロセスから事前に任意の権限を取得しておく必要があります。たとえば、ユーザーはラップトップ・コンピュータへのアクセス権を取得するためのリクエストを作成し、マネージャはそのリクエストに基づいてオープン購買依頼を作成できます。

リクエストでは、リクエスタ、受益者(オプション)およびターゲット・エンティティを使用します。リクエスタは、リクエストを作成または要求するエンティティです。リクエスタは、ユーザーまたはシステム自体の場合があります。システム生成リクエストのリクエスタは、機能コンポーネントによって決定されます。システム生成リクエストの例には、アクセス・ポリシーに基づいてシステムが作成するリクエストがあります。この場合、機能コンポーネントはアクセス・ポリシーです。未認証リクエストの場合、リクエスタはOracle Identity Managerに対して認証されないため、システムに存在しません。

受益者は、リクエストの完了後に実行されたアクションから利益を得るエンティティですが、このリクエストが完了するのは、リクエストが正常に実行された場合のみです。

Oracle Identity Managerでは、ロール、アプリケーション・インスタンスおよび権限などの用語はエンティティとして定義されます。各エンティティは、それぞれに属する属性のリストを保守します。各エンティティは、サポートする操作のリストも定義します。

ターゲット・エンティティは、受益者のためにリクエストされるリソースまたはエンティティです。

たとえば、ユーザーJohn DoeにUNIXアカウントをプロビジョニングするリクエストを作成します。この場合、自分はリクエスタ、John Doeは受益者、UNIXアカウントはJohn Doeのためにリクエストされるターゲット・エンティティです。

このガイドの前半で説明したように、Oracle Identity Managerでは、ロール、アプリケーション・インスタンスおよび権限などのエンティティのリクエストをサポートしています。リクエスト・カタログを使用すると、これらのエンティティをリクエストできます。

各リクエストは、システムで作成された後、特定のライフサイクルを通過します。このライフサイクルは、リクエスト・サービスによって管理および制御されます。ライフサイクルによって、リクエストは様々なステージに遷移します。リクエストが存在するステージによって、コントローラがそのステップで実行するアクション、リクエストに対して使用可能な操作、およびその時点で遷移が可能なステージが決定します。図9-1に、リクエストのプロセス・フローの概要を示します。

図9-1 リクエスト・プロセス・フロー

「図9-1 リクエスト・プロセス・フロー」の説明

リクエスト・プロセス・フローの説明では、リクエストを介してユーザーにラップトップ・コンピュータをプロビジョニングする例を使用します。ステップは次のとおりです。

1. リクエスタは、リクエストUIを使用して、ユーザーにラップトップ・コンピュータを割り当てるリクエストを要求します。

注意:

リクエストは、Oracle Identity Self Serviceを使用してあげることができます。

2. リクエストは、リクエスト・サービスに送信されます。

3. リクエストは、Oracle Identity Managerデータベースにも格納されます。

4. リクエスト・レベルの承認ワークフローは、サービス指向アーキテクチャ(SOA)のリクエスト・サービスによって開始されます。ワークフロー構成に基づいて、関連するタスクは対応する承認者に割り当てられます。

関連項目:

承認ワークフローの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』の承認および手動プロビジョニングのワークフローの開発に関する説明を参照してください。

5. リクエスト・レベルの承認者は、アイデンティティ・セルフ・サービスの受信ボックスを使用してリクエストを承認します。この例では、リクエスタのマネージャ(承認者1)が、ユーザー1にラップトップを割り当てるかどうかを決定するリクエスト・レベルの承認者です。リクエスト・レベルの承認者がリクエストを却下すると、リクエストは「却下」ステージに移動します。

注意:

ユーザーが項目をリクエストすると、Oracle Identity Managerは、リクエスタがそのカタログ項目を表示できるかどうか確認します。ただし、その項目を受益者に付与できるかどうかは確認しません。リクエストが承認されると、Oracle Identity Managerは、リクエストされたアクセスを受益者に付与できるかどうか確認します。

6. 承認者1が自身のロールを承認者2に指定している場合は、承認者2が、ユーザー1にラップトップを割り当てるかどうかを決定するリクエスト・レベルの承認者です。承認者2がリクエストを却下すると、リクエストは「却下」ステージに移動します。

7. 操作レベルの承認者は、受信ボックスを使用してリクエストを承認します。この例では、組織のIT管理者がユーザーへのラップトップの発行を担当する操作レベルの承認者(承認者2)です。操作レベルの承認者がリクエストを却下すると、リクエストは「却下」ステージに移動します。

注意:

リクエストがリクエスト・レベルで却下された場合、操作レベルのリクエストは開始されません。

8. リクエスト操作はリクエスト・サービスで開始されて、リクエストが実行されます。

9. リクエスト操作が完了します。このステージで、リクエスト操作が「完了」ステータスになります。

10. リクエスト・ステータスが、Oracle Identity Managerデータベースで更新されます。

この章では、リクエスト管理について次の各項で説明します。

- リクエストのステージ

- バルク・リクエストと子リクエスト

- 異種リクエスト

- リクエストと直接的な操作

- リクエスト・カテゴリ

- リクエスト失敗の一般的な理由

- リクエスト・プロファイル

- リクエストの作成

- リクエストのトラッキング

- リクエストの取消し

- リクエストのクローズ

9.1 リクエストのステージ

各リクエストは、システムで作成された後、特定のライフサイクルを通過します。このライフサイクルは、リクエスト・サービスによって管理および制御されます。ライフサイクルによって、リクエストは様々なステージに遷移します。リクエストが存在するステージによって、コントローラがそのステップで実行するアクション、リクエストに対してその時点で使用可能な操作、および遷移が可能なステージが決定します。図9-2に、リクエスト・サービスにおけるリクエストのライフサイクル・フローの概要を示します。

図9-2 リクエストのステージ

「図9-2 リクエストのステージ」の説明

注意:

リクエストが正常に送信されない場合は、エラー・メッセージがUIに表示されます。SPML開始リクエストの場合は、エラー・メッセージがSPMLにスローされます。

図9-2は、リクエストが通過できるすべてのステージを示しています。この図は、単純なリクエストの各ステージを示しています。バルク・リクエストの詳細は、「図9-3 バルク・リクエストと子リクエストのステージ」を参照してください。

各ステージは、リクエスト・ライフサイクルにおける論理的な次のステップを表しています。リクエストが1つのステージから次のステージに移動できるのは、操作が正常に実行された場合のみです。

表9-1に、ライフサイクルの様々なステージでのリクエストの機能、およびリクエストのこれらのステージへの到達方法を示します。

表9-1 リクエストのステージ

リクエストのステージ

説明

リクエストが作成されました

正常に送信されたリクエストは、「リクエストが作成されました」ステージに移動します。

承認の取得

作成されたリクエストに承認が定義されている場合は、リクエスト・エンジンがそのリクエストを承認の取得ステージに自動的に移動します。このステージでは、対応する承認がリクエスト・サービスを介して開始されます。完了と同時に、リクエスト・エンジンは、このリクエストに定義されているモデルを参照して承認の選択方法を検索し、インスタンス化する正確な承認プロセスを検出します。

リクエスト・エンジンは、開始する必要のある承認を検出すると、リクエスト・サービスを再度コールしてワークフローをインスタンス化します。

このステージでリクエストが取り消されるかクローズされた場合、リクエスト・エンジンはワークフロー・インスタンスごとにワークフローの取消しをコールします。タスクの取消しに関する通知が承認者に送信されます。

リクエスト通知レベル2では、リクエスト作成用の通知が送信され、ステータスがリクエスト終了のいずれかのステータスに変更されます。リクエスト終了のステータスとしては、「リクエストに失敗しました」や、「リクエストが完了しました」、「リクエストが取り消されました」、「リクエストがクローズされました」などの他の失敗関連のステータスがあげられます。

注意: 通知の構成は、SOAコンポジットのヒューマン・タスクで実行できます。

次のリクエスト・ステータスが承認の取得ステージに関連付けられています。

- リクエスト承認を取得しています

- 操作承認を取得しています

これらのリクエスト・ステータスの詳細は、「バルク・リクエストと子リクエスト」を参照してください。

これらのステータスを正常に完了したリクエストは、リクエスト承認済ステージに到達します。

リクエストが正常に作成された後にSoD検証チェックがプラグインされる場合、リクエストは次のステータスに関連付けられます。

- SoDチェックが開始されていません
リクエストに基づいたリソースのプロビジョニングに対してSoD検証が開始されない場合、リクエストはこのステージに到達します。リクエスト・エンジンは、リクエストの送信後かつ承認の取得前に、リクエストをこのステージに移動します。

- SoDチェックが開始されました
リクエストに基づいたリソースのプロビジョニングに対してSoD検証が非同期で開始された場合、リクエストはこのステージに到達します。リクエスト・エンジンは、リクエストの送信後かつ承認の取得前に、リクエストをこのステージに移動します。

- SoDチェックが完了しました
リクエストに基づいたリソースのプロビジョニングに対してSoD検証が完了した場合、リクエストはこのステージに到達します。リクエスト・エンジンは、リクエストの送信後かつ承認の取得前に、リクエストをこのステージに移動します。

注意: これらのSoDリクエスト・ステータスが可能なのは、リクエストが次のリクエスト・タイプのいずれかである場合です。

- ApplicationInstanceのプロビジョニング

- アカウントの変更

- 権限のプロビジョニング

- 権限の失効

- ロールの割当て

- ロールからの削除

承認

操作承認が承認された場合のみ、リクエストは次のステージに移動し、リクエスト・エンジンは現在のステータスで更新されます。リクエスト・エンジンが検出する結果は、「承認」、「却下」または「保留」です。

次のリクエスト・ステータスがこのステージに関連付けられています。

- リクエスト承認が承認されました

- 操作承認が承認されました

却下

ワークフロー・インスタンスが更新されるたびに、リクエスト・サービスは、リクエスト・エンジンをそのインスタンスの現在のステータスで更新します。リクエスト・エンジンが想定しているリクエスト・サービスからの結果は、「承認」または「却下」です。インスタンス化されたワークフロー・インスタンスが却下された場合、リクエスト・エンジンはリクエストを「却下」ステージに移動します。任意のワークフロー・インスタンスが却下された場合、コントローラはすべての保留中のワークフローを取り消して、リクエストを「却下」ステージに移動します。

次のリクエスト・ステータスがこのステージに関連付けられています。

- リクエスト承認が却下されました

- 操作承認が却下されました

操作が開始されました

リクエストが承認されると、リクエスト・エンジンはリクエストを「操作が開始されました」ステージに移動して、操作を開始します。

次のリクエスト・ステータスがこのステージに関連付けられています。

- 操作が完了しました
実際のリクエスト操作が完了すると、リクエスト・エンジンはリクエストを「操作が完了しました」ステージに移動します。これは、「操作が開始されました」ステータスの後に発生し、「完了」ステージに関連付けられます。

- ポスト操作処理が開始されました
実際のリクエスト操作が完了した後、実行する必要がある追加操作が後処理として存在する場合、リクエスト・エンジンは、その操作を開始する前に、リクエストを「ポスト操作処理が開始されました」ステージに移動します。これが実行されるのは、「操作が完了しました」ステータスの後です。

注意: バルク操作の場合、子リクエストはリクエスト・レベルの承認の後に作成され、親リクエストは「リクエストが子リクエストの完了待ちです」ステータスに移動します。

リクエストに失敗しました

リクエストに指定されている関連操作の実行に失敗した場合、リクエストは保留中の操作を取り消して「リクエストに失敗しました」ステージに移動します。

次のリクエスト・ステータスがこのステージに関連付けられています。

- リクエストに失敗しました
リクエストで指定されたすべての関連付けられた操作が失敗すると、リクエストは、「リクエストに失敗しました」ステージに移動します。

- リクエストの一部が失敗しました
リクエストで指定された一部の関連付けられた操作が失敗すると、リクエストは、「リクエストの一部が失敗しました」ステージに移動します。

- リクエストの履行に失敗しました
アプリケーション・インスタンスまたは権限に関連付けられたリクエストが失敗すると、リクエストは、「リクエストの履行に失敗しました」ステージに移動します。

- 最大再試行数後にリクエストの履行に失敗しました
「却下」ステージにあるアプリケーション・インスタンスまたは権限に関連付けられたリクエストが、再試行の最大数に到達するまで再試行されると、リクエストは、「最大再試行数後にリクエストの履行に失敗しました」に移動します。

取消し済

リクエスタはリクエストを取り消すことができます。このステージでは、リクエストが「リクエストが取り消されました」ステータスに関連付けられ、すべての承認の開始が取り消されます。

注意:

- リクエストを取り消すことができるのは、「操作が開始されました」ステージの前です。「操作が開始されました」ステージに到達したリクエストは、取り消すことができません。

- リクエストは、Identity Self Serviceを使用して実行されるリクエスタによってのみ、いつでも取り消すことができます。

- 管理者は、リクエストをクローズできます。この操作は取消機能と似ています。

完了

リクエストに指定されたすべての操作の実行が完了すると、リクエスト・エンジンはリクエストを「リクエストが完了しました」ステージに移動します。

次のリクエスト・ステータスがこのステージに関連付けられています。

- リクエストがエラーで完了しました
実際のリクエスト操作が正常に実行されても後処理操作のいずれかの実行に失敗した場合、リクエストはこのステータスに到達します。「リクエストがエラーで完了しました」ステージは「失敗」ステージに関連付けられています。

- リクエストが完了しました
実際のリクエスト操作がエラーなしに正常に実行された場合、リクエストはこのステータスに到達します。

- リクエストが完了待ちです
リクエストが将来の日付で実行するようにスケジュールされている場合、リクエストは「リクエストが完了待ちです」ステータスに到達し、操作が有効日に完了するまで待機します。

ステージに正常に到達すると、リクエストのステータスも対応するステータスに更新されます。

操作は、手動で実行するか、イベントに対応してシステムで自動的に実行できます。手動操作の例を次に示します。

- リクエストの送信。

- リクエストのクローズ/取消し。

- 承認ワークフローが正常に承認されたことがサービスに通知されたときのリクエストの承認。

自動操作の例を次に示します。

- リクエストが送信されたときの承認の開始。

- リクエストが承認され、かつ実行日が将来の日付かまたは指定されていない場合のリクエストの実行。

9.2 バルク・リクエストと子リクエスト

バルク・リクエストは、複数の受益者または複数のエンティティ(あるいはその両方)を含むリクエストです。たとえば、ユーザーJohn Doeに複数のロールを割り当てるリクエストでは、バルク・リクエストが生成されます。ユーザーJohn DoeおよびJane DoeにADユーザーなどのリソースをプロビジョニングするプロビジョニング・リクエストでも、バルク・リクエストが生成されます。バルク・リクエストには、2つの部分があります。

- 親リクエスト: 複数の受益者または複数のターゲット・エンティティ(あるいはその両方)を含めて送信されたリクエストは、親リクエストです。

- 子リクエスト: 親リクエストに対してリクエスト・レベルの承認が発生した場合は、複数の子リクエストが作成されます。親リクエストは、1人の受益者と1つのターゲット・エンティティを含む複数の子リクエストに分割されます。

バルク・リクエストのエンティティ・データは、リクエストに指定されている異なる受益者間で同じである必要があります。たとえば、「ApplicationInstanceのプロビジョニング」タイプのリクエストの場合、複数の受益者が選択されていると、「バルク更新」とマークされたフォーム・フィールドのみが表示され、その値はすべての受益者で共通になります。

生成される子リクエスト数は、各受益者に関連付けられているターゲット・エンティティの数に依存します。各受益者の関連するターゲット・エンティティの1つを使用して、各子リクエストが生成されます。子リクエストには、1人の受益者と1つのターゲット・エンティティのみが含まれます。

受益者が含まれていないリクエストの場合は、ターゲット・エンティティごとに各子リクエストが生成されます。次に例を示します。

2人のユーザーの属性を変更するユーザーの修正バルク・リクエストの場合、各ユーザーの属性に2つの子リクエストが作成されます。

別の例について考えてみます。「ApplicationInstanceのプロビジョニング」タイプのリクエストの場合、2人の受益者が存在します。2つのアプリケーション・インスタンスが受益者ごとにプロビジョニングされます。このシナリオでは、最初の受益者に対して2つの子リクエストがあり、2番目の受益者に対して2つの子リクエストがあります。各子リクエストには、各アプリケーション・インスタンスとそれに関連する受益者が存在します。したがって、このバルク・リクエストには、1つの親リクエストと4つの子リクエストの合計が存在します。

リクエスト・レベルの承認は、親リクエストの一部として実行されます。親リクエストは子リクエストを生成した後、子リクエストが操作レベルの承認を完了するまで「リクエストが子リクエストの完了待ちです」ステージに移動して待機します。すべての子リクエストが完了すると、親リクエストは「完了」ステージに移動します。

操作レベルの承認は、子リクエストに対してのみ実行されます。承認者は、子リクエストを個別に承認または却下できます。すべての子リクエストが承認または却下された場合、親リクエストは「完了」ステージに到達します。子リクエストの1つ以上(すべてではない)が失敗した場合、親リクエストは「リクエストの一部が失敗しました」ステージに到達します。すべての子リクエストが失敗した場合、親リクエストは「失敗」ステージに到達します。

図9-3に、リクエスト・サービスにおけるリクエストのライフサイクル・フローの概要を示します。

図9-3 バルク・リクエストと子リクエストのステージ

「図9-3 バルク・リクエストと子リクエストのステージ」の説明

関連項目:

リクエストのステージの詳細は、「表9-1 リクエストのステージ」を参照してください。

9.3 異種リクエスト

異種リクエストはタイプの異なるエンティティ用に作成されたリクエストです。Oracle Identity Managerでは、ロール、アプリケーション・インスタンス、権限など、本来はタイプが異なるエンティティのリクエストを一度に実行できます。

異種リクエストでは、次のリクエスト・タイプがサポートされています。

- ApplicationInstanceのプロビジョニング

- ロールの割当て

- 権限のプロビジョニング

異なるエンティティについて送信されるリクエストの場合、リクエスト・タイプは「異種リクエスト」として設定されます。たとえば、ロールと権限などの2つの個別のエンティティについて1つのリクエストを送信する場合、リクエスト・タイプは「異種リクエスト」になります。

同じタイプの複数のエンティティについて送信されるリクエストの場合は、リクエスト・タイプは選択したエンティティに従って設定されます。たとえば、複数のロールについてリクエストを送信する場合、リクエスト・タイプは「ロールの割当て」になります。

9.4 リクエストと直接的な操作

Oracle Identity Managerのユーザーは、アプリケーションで様々な操作を実行できます。Oracle Identity Managerで実行可能なすべての操作は、定義されている認可ポリシーによって制御されます。組織内のユーザーに付与された管理ロールは、ユーザーがOracle Identity Managerで実行可能な操作が直接的なものかリクエストによるものかを決定します。たとえば、ユーザー管理者である場合は、ユーザーの作成、ユーザーの変更、アカウントの付与、ユーザー・アカウントの有効化などのすべての操作は、直接的な操作です。同様に、ユーザー・ビューア管理ロールを割り当てられている場合は、ユーザーの作成、ユーザーの有効化、ユーザーの削除、ロールの付与、権限の失効などの操作では、リクエストが作成されます。Oracle Identity Managerでの管理ロール、各管理ロールのユーザーに許可されている対応する権限、および操作が直接的なものなのかリクエストを使用するのかについての詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』の「セキュリティ・アーキテクチャ」を参照してください。

操作がリクエストを使用するのか直接実行されるのかは、次によって決まります。

- 操作を実行しているユーザーに付与された管理ロール。ユーザーに付与された管理ロールに基づいて、操作がリクエストを使用するのか直接的なものなのかを決定するために認可チェックが実行されます。

- バルク操作か1回の操作か。ユーザーに付与された管理ロールに関係なく、バルク操作では常にリクエストを使用します。

- 「有効日」フィールドに値が指定されているかどうか。「有効日」フィールドに値が指定されている場合は、1回の操作かバルク操作かに関係なく、操作でリクエストが使用されます。
有効日が指定されない1回の操作の場合:

- 自身に対して操作を実行している場合、リクエストが使用されます。

- 他のユーザーに対して操作を実行しており、自身が認可者である場合は、直接的な操作になります。

直接的な操作かリクエストかを決定するための認可チェックは、Oracle Identity Managerのすべての操作で行われるわけではありません。操作がリクエストかどうかの判断は、リクエスト可能な操作に対してのみ行われます。リクエスト可能なデフォルトの操作の詳細は、「リクエスト・カテゴリ」の表を参照してください。

直接的な操作かリクエストかのチェックは、操作に対応するリクエスト・モデルがある場合にのみ操作に適用されます。したがって、組織を作成するためのリクエスト・モデルはないため、この認可チェックは組織の作成ではなくユーザーの作成に対して実行されます。同様に、ユーザー・アカウントのロックおよびロック解除も、リクエストか直接的な操作かを決定するための認可チェックが実行されない操作です。したがって、これらの操作は直接的です。

リクエストの作成は、SOAワークフローが起動され、手動の承認が取得されることを必ずしも意味するわけではないことに注意してください。リクエストは作成されても、承認を必要としないシナリオがあります。次のサンプル・シナリオを考えてみます。

シナリオ1:

操作がバルクである場合、リクエストは作成されますが、操作レベルでは、リクエスタがエンティティの管理者であると判断された場合、自動承認とみなされます。

シナリオ2:

SoDチェックが有効な場合は、承認ワークフローは必ず開始される必要があります。これは、SoDチェックが承認ワークフローでのみ行われるためです。

エンド・ユーザーは、アプリケーション・インスタンス、権限、およびホーム組織に公開されたロールなどのエンティティのリクエストを、同じ組織内の自分または他人に送信できます。他の組織のユーザーのリクエストを送信するには、(ユーザーが属する各組織の)「ユーザー・ビューア」管理ロールと対応する「アプリケーション・インスタンス・ビューア」、「権限ビューア」または「ロール・ビューア」ロールを付与されている必要があります。

9.5 リクエスト・カテゴリ

Oracle Identity Managerには、2つのリクエスト・カテゴリがあります。

- カタログベースのリクエスト: このタイプのリクエストでは、アクセス・リクエスト・カタログを使用したユーザーに対するアクセス権の付与に焦点が当てられます。カタログベースのリクエストは、ロール、アプリケーション・インスタンスおよび権限などのエンティティに対して作成されるリクエストです。次に、カタログベースのリクエストのタイプを示します。

- ロール・リクエスト: これはエンタープライズ・ロールに対するリクエストで、関連付けられたアクセス・ポリシーが1つ以上あります。

- アプリケーション・インスタンス・リクエスト: これは、ターゲット・アプリケーションのアカウントに対するリクエストです。アプリケーション・インスタンスは、ターゲット・アプリケーションのアカウントを表し、通常、Oracle Identity ManagerではITリソース・インスタンスと呼ばれます。アプリケーション・インスタンスのリクエストおよびプロビジョニングは、ターゲット・アプリケーションにアカウントが作成されたことを意味します。

- 権限リクエスト: これは、ターゲット・アプリケーションでの追加のアクセスに対するリクエストです。たとえば、E-Business Suiteアカウントでは、CRM管理者または給与処理スーパーバイザなどの権限をリクエストできます。ユーザーが権限をリクエストすると、その権限がプライマリ・アカウントに追加されます。プライマリ・アカウントおよびプライマリ以外のアカウントの詳細は、「アカウントのリクエスト」を参照してください。

デフォルトでは、カタログはエンティティのタイプによって分類されます。カタログ項目を変更し、独自のカテゴリを指定できます。カタログ項目の表示および変更の詳細は、「アクセス・リクエスト・カタログの使用」を参照してください。

リクエスト項目をリクエスト・カートに追加することによって、カタログベースのリクエストを作成します。リクエスト・カートには、同じまたは異なるエンティティ・タイプの項目を含めることができます。

リクエスト項目をカートに追加した後、ターゲット・ユーザーを選択する場所のチェックアウトに進み、リクエストを送信します。選択可能なユーザー(つまり、リクエストの受益者)は、組織全体で持っている「ユーザー・ビューア」管理ロールによって決まります。

追加情報を指定する必要があるアプリケーション・インスタンスには、それ自体に関連付けられたフォームがあります。そのようなアプリケーション・インスタンス・リクエストは、フォームが完了しないと送信できません。

Oracle Identity Managerには、事前に定義された一連のリクエスト・タイプがあります。表9-2に、カタログベースのリクエストに対してOracle Identity Managerがデフォルトでサポートしている操作およびリクエスト・タイプを示します。

表9-2 カタログベースのリクエストに対するデフォルトの操作およびリクエスト・タイプ

カタログ・エンティティ

リクエスト・タイプ

バルク

受益者

アプリケーション・インスタンス

ApplicationInstanceのプロビジョニング

Y

Y

権限

権限のプロビジョニング

Y

Y

ロール

ロールの割当て

Y

Y

- カタログベース以外のリクエスト: このタイプのリクエストは、リクエスト・カタログを使用せずに作成されます。カタログベース以外のリクエストの例には、自己登録、ユーザーの作成、ユーザーの変更、アカウントの変更、アカウントの失効、アカウントの有効化または無効化、ユーザーの有効化または無効化、およびユーザーのバルク変更が含まれます。
Oracle Identity Managerには、事前に定義された一連のリクエスト・タイプがあります。表9-3に、カタログベース以外のリクエストに対してOracle Identity Managerがデフォルトでサポートしている操作およびリクエスト・モデルを示します。

表9-3 カタログベース以外のリクエストに対するデフォルトの操作およびリクエスト・タイプ

カテゴリ

リクエスト・タイプ

バルク

受益者

ユーザー管理

ユーザーの作成

N

N

ユーザーの自己登録

N

N

ユーザー・プロファイルの変更

Y

N

ユーザーの有効化

Y

N

ユーザーの無効化

Y

N

ユーザーの削除

Y

N

プロビジョニング

アカウントの変更

Y

Y

アカウントの有効化

Y

Y

アカウントの無効化

Y

Y

アカウントの失効

Y

Y

ロール管理

ロールの作成

N

N

ロールの削除

Y

N

ロールの変更

Y

N

ロールの割当て

Y

Y

ロールからの削除

Y

Y

注意:

次のリクエスト・タイプは、現在のリリースでは非推奨になっています。

- 「セルフ」に関連するリクエスト・タイプ

- 「リソース」に関連するリクエスト・タイプ

新しいリクエストは、これらの非推奨になったリクエスト・タイプに基づいて作成することはできません。

9.6 リクエスト失敗の一般的な理由

リクエストに指定されている関連操作の実行に失敗した場合、リクエストは保留中の操作を取り消して「リクエストに失敗しました」ステージに移動します。「リクエストに失敗しました」ハイパーリンクをクリックすると、リクエスト失敗の理由が表示されます。

リクエストの失敗には、次のいずれかの理由が考えられます。

- ロールをリクエストしている場合、職務分掌違反によりリクエストが失敗する可能性があります。

- アプリケーション・インスタンスをリクエストしており、そのアプリケーション・インスタンスが別のアプリケーション・インスタンスに依存する場合、親アプリケーション・インスタンスがプロビジョニングされていないため、リクエストは「承認済リクエスト履行が保留中です」ステータスに進みます。たとえば、ユーザーにMicrosoft Exchangeアカウントを正常にプロビジョニングするためには、ユーザーは、Exchange Serverのユーザーを管理しているドメイン・コントローラでMicrosoft Active Directoryアカウントを所有している必要があります。

- 権限をリクエストすると、その権限はプライマリ・アカウントにプロビジョニングされます。このため、権限をリクエストしており、自分にプロビジョニングされているプライマリ・アカウントを所有していない場合は、権限リクエストは失敗します。

前述の理由の他に、誤ったパスワード、パスワード・ポリシー違反、ターゲット・システムが使用不可能であるなどの理由で、失敗することがあります。

9.7 リクエスト・プロファイル

リクエストのためのカタログ項目を選択すると、その項目はリクエスト・カートに追加されます。リクエスト・カートは、顧客に製品を販売するWebサイトのショッピング・カートに似ています。カートの選択した項目を表示したり、リクエスト・カートを編集して項目を追加または削除することができます。

リクエスト・プロファイルとは、ユーザーが今後再利用するために保存されるリクエスト・カートのことです。ユーザーが何千ものカタログ項目を検索せずに、リクエスト・カートを使用してエンティティのリクエストができるように、リクエスト・カートはカタログ管理者またはシステム管理者によって保存されます。

注意:

ユーザーがリクエスト・プロファイルを使用してリクエストを作成する場合、項目は認可ポリシーに基づいてフィルタされます。つまり、ユーザーがリクエストに必要な権限を持っていない項目がカートから自動的に削除されます。ユーザーにプロファイルのどの項目もリクエストする権限がない場合は、カート項目は空になります。

このセクションのトピックは次のとおりです:

- リクエスト・プロファイルの作成

- リクエスト・プロファイルの変更

- リクエスト・プロファイルの削除

注意:

リクエスト・プロファイルの作成、変更または削除を実行できるのは、カタログ管理者またはシステム管理者のみです。

9.7.1 リクエスト・プロファイルの作成

リクエスト・プロファイルを作成する手順は、次のとおりです。

1. 「カタログ」ページで1つ以上のカタログ項目を選択し、「カートに追加」をクリックします。カタログ項目がリクエスト・カートに追加されます。

2. 「チェックアウト」をクリックします。「カート詳細」ページが表示されます。選択したカタログ項目が「カート項目」セクションに表示されます。

3. 「プロファイルとして保存」をクリックします。「カートのリクエスト」ダイアログ・ボックスが表示され、リクエスト・プロファイルのカタログ項目が表示されます。

4. 「プロファイル名の保存」フィールドに、リクエスト・プロファイルの名前を入力します。

5. 「説明」フィールドに、リクエスト・プロファイルの説明を入力します。

6. 「保存」をクリックします。リクエスト・プロファイルが作成されます。

9.7.2 リクエスト・プロファイルの変更

リクエスト・プロファイルを変更する手順は、次のとおりです。

1. 「カタログ」ページの「リクエスト・プロファイル」セクションで、変更するリクエスト・プロファイルをクリックします。「カート詳細」ページが表示されます。

2. 「カート項目」セクションで、項目の詳細を表示するカート項目を選択します。

3. 「詳細」セクションで、必要に応じて、リクエストの詳細を変更します。これを行うには、「詳細」セクションで値を設定または変更し、「送信準備ができています」をクリックします。

4. カートにさらに項目を追加する手順は、次のとおりです。

1. 「カタログに戻る」をクリックします。

2. 「カタログ」ページで、カートに追加する項目を検索して選択し、「カートに追加」をクリックします。

5. 「チェックアウト」をクリックします。「カート詳細」ページが表示されます。

6. 「プロファイルとして保存」をクリックします。「プロファイルとして保存」ダイアログ・ボックスが表示されます。

7. 「プロファイル名の保存」フィールドに、変更するリクエスト・プロファイルの名前を入力します。新しい名前を入力すると、新しいリクエスト・プロファイルが作成されます。既存のリクエスト・プロファイルの名前を入力した場合は、そのリクエスト・プロファイルが最近の変更で更新されます。

8. 「説明」フィールドに、リクエスト・プロファイルの説明を入力します。

9. 「保存」をクリックします。既存のリクエスト・プロファイルの名前を入力したのか新しい名前を入力したのかによって、リクエスト・プロファイルはそれぞれ作成または更新されます。

注意:

「ターゲット・ユーザー」、「理由」または「有効日」に追加または指定した値は、リクエスト・プロファイルに保存されません。

9.7.3 リクエスト・プロファイルの削除

リクエスト・プロファイルを削除する手順は、次のとおりです。

1. 「カタログ」ページの「リクエスト・プロファイル」セクションで、リクエスト・プロファイル名の前の赤い「X」印をクリックします。

2. 表示される「確認」ダイアログ・ボックスで、「はい」をクリックします。
リクエスト・プロファイルが削除されます。

9.8 リクエストの作成

この項では、次のトピックでリクエストの作成方法について説明します。

- Oracle Identity Managerでの自身を登録するリクエストの作成

- リクエスト・カタログの使用したリクエストの作成

- リクエスト・プロファイルの使用したリクエストの作成

9.8.1 Oracle Identity Managerでの自身を登録するリクエストの作成

Identity Self Serviceのログイン・ページを使用して、Oracle Identity Managerに自身を登録するリクエストを作成できます。これは、自己登録リクエストと呼ばれ、Oracle Identity Managerに存在しないユーザー(匿名ユーザー)が要求できます。自己登録リクエストを作成するには、「登録リクエストの送信」を参照してください。自己登録リクエストの送信後、ログイン・ページに移動し、「自分の登録のトラッキング」をクリックすることでトラッキングできます。

9.8.2 リクエスト・カタログの使用したリクエストの作成

注意:

この項で説明した手順は、ロール、権限およびアプリケーション・インスタンスのリクエストに適用されます。

「アイデンティティ・セルフ・サービス」では、「ホーム」ページ、「マイ・アクセス」ページ、ユーザーおよびロールのエンティティ詳細ページなどの様々なページからリクエストを作成することができます。リクエストを作成しているページまたはタブに関係なく、リクエスト・カタログを使用してリクエストを作成します。

リクエスト・カタログを使用してリクエストを作成する手順は、次のとおりです。

1. Identity Self Serviceにログインします。

2. 「リクエスト」で、「カタログ」をクリックします。「カタログ」ページが表示されます。

3. リクエストする項目を検索します。これを行うには、「検索」フィールドにキーワードを入力し、右側の「検索」アイコンをクリックします。検索結果が表示されます。図9-4に示すように、検索条件に一致するカタログ項目が「カタログ項目」セクションに表示されます。

図9-4 「カタログ」ページ

「図9-4 「カタログ」ページ」の説明

4. 「検索の絞込み」セクションで、1つ以上のカテゴリを選択して、それらのカテゴリのカタログ項目を表示します。「すべて選択」をクリックして、カテゴリに属するすべての項目を表示または非表示にします。

5. リクエストするカタログ項目を選択します。項目のサマリー情報は、「カタログ項目」セクションの下に表示されます。
また、[Ctrl]を押しながら項目をクリックすると、複数の項目を選択できます。

6. 「選択した項目をカートに追加」をクリックします。
選択した項目がリクエスト・カートに追加されます。

7. 必要に応じて、「編集」をクリックして、カートに追加されたカタログ項目を表示します。図9-5に示すように、「カートのリクエスト」ダイアログ・ボックスが表示され、カートのカタログ項目のリストが表示されます。

図9-5 カートのリクエスト

「図9-5 カートのリクエスト」の説明

8. 必要に応じて、カタログ項目を選択してその項目に関する詳細情報を表示します。詳細情報を確認し、カートから項目を削除する場合は、対応する項目の「削除」をクリックします。
または、「すべて削除」をクリックして、カートからすべての項目を削除します。

9. 「チェックアウト」をクリックします。または、「カタログ」ページで「チェックアウト」をクリックします。
図9-6に示すように、「カート詳細」ページが表示されます。

図9-6 「カート詳細」ページ

「図9-6 「カート詳細」ページ」の説明

10. 「ターゲット・ユーザー」セクションには、リクエストの受益者のユーザー名が表示されます。ユーザーの「ユーザーの詳細」アイコンをクリックすると、ユーザーの詳細が表示されます。

11. リクエストに受益者を追加する手順は、次のとおりです。

1. 緑色の「+」記号をクリックします。「ターゲット・ユーザーの拡張検索」ダイアログ・ボックスが表示されます。

2. 追加する1人以上のユーザーを検索して選択します。

3. 選択したユーザーを「選択したユーザー」リストに追加するには、「選択した項目の追加」をクリックします。または、「すべて追加」をクリックして、すべてのユーザーを「選択したユーザー」リストに追加します。

4. 「追加」をクリックします。選択したユーザーまたは受益者が、「カート詳細のリクエスト」ページの「ターゲット・ユーザー」セクションに追加されます。

また、受益者のリストから削除するユーザーを選択して、「削除」をクリックすることもできます。

12. 必要に応じて、「理由」および「有効日」セクションで、理由とリクエストがアクティブになる有効日を各フィールドで指定します。

13. 必要に応じて、「カート項目」セクションでカート項目を選択し、「詳細」をクリックして項目の詳細を表示します。

14. 詳細またはカートの各項目を確認および変更した後、「送信」をクリックします。
リクエストが承認のために送信され、「リクエスト・サマリー」ページが表示され、サマリー情報、ターゲット・ユーザーまたは受益者情報、およびリクエストと承認の詳細が表示されます。図9-7は、「リクエスト・サマリー」ページを示しています。

図9-7 「リクエスト・サマリー」ページ

「図9-7 「リクエスト・サマリー」ページ」の説明

注意:

リクエストを取り消す場合は、「リクエスト・サマリー」ページで「リクエストの取消し」をクリックし、「はい」をクリックして確認します。「アイデンティティ・セルフ・サービス」の他のページからリクエストを取り消す場合は、「リクエストの取消し」を参照してください。

9.8.3 リクエスト・プロファイルを使用したリクエストの作成

リクエスト・プロファイルを使用してリクエストを作成する手順は、次のとおりです。

1. 「アイデンティティ・セルフ・サービス」の「リクエスト」の「カタログ」をクリックします。「カタログ」ページが表示され、自身に作成されたリクエスト・プロファイルが表示されます。

2. リクエストの作成に使用するリクエスト・プロファイル名をクリックします。「カート詳細」ページが表示されます。

3. 「ターゲット・ユーザー」セクションには、リクエストの受益者のユーザー名が表示されます。各ユーザーに対する情報アイコンをクリックすると、詳細が表示されます。

4. リクエストに受益者を追加する手順は、次のとおりです。

1. 「追加」アイコンをクリックします。「ターゲット・ユーザーの拡張検索」ダイアログ・ボックスが表示されます。

2. 追加する1人以上のユーザーを検索して選択します。

3. 選択したユーザーを「選択したユーザー」リストに追加するには、「選択した項目の追加」をクリックします。または、「すべて追加」をクリックして、すべてのユーザーを「選択したユーザー」リストに追加します。

4. 「追加」をクリックします。選択したユーザーまたは受益者が、「カート詳細のリクエスト」ページの「ユーザー」セクションに追加されます。

また、受益者のリストから削除するユーザーを選択して、「削除」アイコンをクリックすることもできます。

5. 必要に応じて、「理由」および「有効日」セクションで、理由とリクエストがアクティブになる有効日を各フィールドで指定します。

6. 「カート項目」セクションで、項目の詳細を表示するカート項目を選択します。

7. 詳細またはカートの各リクエストを確認および変更した後、「送信」をクリックします。
リクエストが承認のために送信され、「リクエスト・サマリー」ページが表示され、サマリー情報、ターゲット・ユーザーまたは受益者情報、およびリクエストと承認の詳細が表示されます。

9.9 リクエストのトラッキング

リクエストをトラッキングする手順は、次のとおりです。

1. 「アイデンティティ・セルフ・サービス」の「リクエスト」の「リクエストのトラッキング」をクリックします。「リクエストのトラッキング」ページが表示されます。

2. トラッキングするリクエストを検索します。手順は次のとおりです。

1. 次のいずれかを選択します。

- すべて: このオプションを選択すると、検索はAND条件で実行されます。つまり、検索操作によって、指定されたすべての検索基準に一致するリクエストが返されます。

- いずれか: このオプションを選択すると、検索はOR条件で実行されます。つまり、検索操作によって、指定された検索基準のいずれかに一致するリクエストが返されます。

2. 「リクエストID」などの検索可能なリクエスト属性フィールドで、値を指定します。属性値にはワイルドカード文字(*)を含めることができます。
一部の属性については、「参照」から属性値を選択します。たとえば、「ステータス」リストから「操作承認を取得しています」ステータスを持つすべてのリクエストを検索するには、「次と等しい」検索演算子を選択し、横にあるリストから「操作承認を取得しています」を選択します。

3. 指定した各属性値に対して、リストから検索演算子を選択します。たとえば、「リクエストID」で次の検索演算子を使用できます。

- 次で始まる

- 次で終わる

- 次と等しい

- 次と等しくない

- 次を含む

- 次を含まない

「ステータス」や「リクエスト・タイプ」などのその他のフィールドの場合は、「次と等しい」演算子と「次と等しくない」演算子のみを使用できます。

日付タイプのフィールドの検索演算子は、次のとおりです。

- 次と等しい

- 次と等しくない

- 次より前

- 次より後

- それ以前

- それ以後

4. 検索可能なリクエスト属性を「リクエストのトラッキング」ページに追加するには、「フィールドの追加」をクリックして、属性のリストから属性を選択します。
たとえば、リクエスタによってすべてのリクエストをトラッキングする場合は、「リクエスタ」属性を検索可能なフィールドとして追加し、検索条件を指定できます。

5. 必要に応じて、「リセット」をクリックし、指定した検索条件をリセットします。通常、この手順を実行すると、指定した検索条件を削除し、新しい検索条件を指定します。

6. 「検索」をクリックします。検索結果が表形式で表示されます。

3. 実行したリクエスト検索で多数のレコードが表示される場合は、リクエスト検索結果をフィルタ処理できます。手順は次のとおりです。

1. 「表示」リストから、次のいずれかを選択します。

- 自分で要求したリクエスト: デフォルトで選択されています。ログイン・ユーザーによって作成されたリクエストが返されます。

- 自分に対して要求されたリクエスト: ログインしたユーザーが受益者またはターゲット・ユーザーとして存在するリクエストが返されます。

- Reporteeに対して: このオプションを使用できるのは、ログイン・ユーザーがユーザーのマネージャである場合です。

- ユーザーに対して: このオプションを使用できるのは、ログイン・ユーザーにユーザー管理者ロールまたはヘルプデスク管理ロールが付与されている場合です。

- すべて: 検索結果のすべてのリクエストが返されます。このオプションを使用できるのは、ログイン・ユーザーに「システム管理者」ロールが付与されている場合です。

2. 「リクエストID」または「ステータス」などのいずれかの列で検索結果のリクエストをソートするには、列で「昇順ソート」または「降順ソート」矢印をクリックします。検索結果のリクエストは、選択した列でソートされます。

4. リクエスト検索結果で、リクエストをクリックして、リクエストの詳細を表示します。リクエストの詳細が、次の情報を含むページに表示されます。

- サマリー情報: このセクションには、リクエストID、リクエスト・ステータス、有効日などの一般的なリクエストの詳細が表示されます。

- ターゲット・ユーザー: このセクションには、リクエストの受益者またはターゲット・ユーザーが表示されます。

- 関連リクエスト: このセクションには、オープン・リクエスト(ある場合)に関連するリクエストが表示されます。

- リクエストの詳細: このタブには、リクエストされたカタログ項目が表示されます。項目を選択すると、その項目のサマリー情報が表示されます。

- 承認の詳細: このタブには、リクエストが割当てられている各承認者による、リクエスト承認のステータスが表示されます。

9.10 リクエストの取消し

リクエスタはリクエストを取り消すことができますが、取り消すことができるのは実行フェーズが開始されていないリクエストのみです。また、受益者はリクエストを取り消すことができません。取り消すことができるのは、次のステージにあるリクエストです。

- 承認の取得

- 承認

注意:

承認されたリクエストは、そのリクエストが「リクエストが完了待ちです」ステータスにある場合を除きクローズできません。

リクエストを取り消す手順は、次のとおりです。

1. 「アイデンティティ・セルフ・サービス」の「リクエスト」の「リクエストのトラッキング」をクリックします。「リクエストのトラッキング」ページが表示されます。

2. 取り消すリクエストを検索します。検索結果には、各リクエストに「リクエストの取消し」ボタンを含む、検索基準に一致するリクエストのリストが表示されます。

3. 取り消すリクエストに対して、「リクエストの取消し」をクリックします。または、リクエストIDをクリックしてリクエストの詳細を開いてから、「リクエストの詳細」ページで、「リクエストの取消し」をクリックします。

4. 確認メッセージ・ボックスで「はい」をクリックします。リクエストが取り消され、リクエストの受益者およびリクエスタに通知が送信されます。取消しが成功した場合、リクエストは「リクエストが取り消されました」ステージに移動します。リクエストに関連付けられている保留中の承認タスクは取り消されます。

注意:

- 通知の構成は、SOAコンポジットのヒューマン・タスクで実行できます。

- リクエストの承認、タスクの再割当て、タスクの却下などのリクエスト関連のタスクの詳細は、「タスクの管理」を参照してください。

9.11 リクエストのクローズ

管理者は、実行フェーズを開始していないリクエストを途中でクローズできます。これには、承認を待機しているすべてのリクエスト、または承認を完了しているが操作を開始していないすべてのリクエストが含まれます。次の状態のリクエストをクローズできます。

- 承認の取得

- 承認

注意:

- 承認されたリクエストは、そのリクエストが「リクエストが完了待ちです」ステータスにある場合を除きクローズできません。

- 承認の取得ステージに存在するリクエストをクローズした場合は、承認者のタスク・リストにある保留中のすべての承認が削除されます。

リクエストをクローズする手順は、次のとおりです。

1. 「アイデンティティ・セルフ・サービス」の「リクエスト」の「リクエストのトラッキング」をクリックします。「リクエストのトラッキング」ページが表示されます。

2. クローズするリクエストを検索します。検索条件に一致するリクエストが、表形式で表示されます。

3. クローズするリクエストを選択します。

4. 「アクション」メニューから「リクエストのクローズ」を選択します。または、ツールバーにある「リクエストのクローズ」アイコンをクリックします。

5. 確認メッセージ・ボックスで「はい」をクリックします。リクエストがクローズされ、通知がこのリクエストのリクエスタとターゲット・ユーザーに送信されます。リクエストが正常にクローズされると、リクエストは「リクエストがクローズされました」ステージに移動します。

注意:

- 通知の構成は、SOAコンポジットのヒューマン・タスクで実行できます。

- リクエストの承認、タスクの再割当て、タスクの却下などのリクエスト関連のタスクの詳細は、「タスクの管理」を参照してください。

10 タスクの管理

Oracle Identity Self Serviceでは、特定のタイプのタスク・インスタンスを表示できます。これらのタイプは、特定のOracle Identity Managerコンポーネントに関連付けられています。タスク・タイプは、承認、証明、プロビジョニングおよびアテステーションのタスクです。

承認タスクは、「アイデンティティ・セルフ・サービス」の「受信ボックス」セクションから表示および管理できます。これらのタスクは、リクエスト・サービスによってインスタンス化され、承認するユーザーまたは管理者のキューにある関連リクエストに対応します。

証明レビュー・タスクは、「アイデンティティ・セルフ・サービス」の「受信ボックス」セクションから表示および管理できます。これらのタスクは、レビューアのキューの証明プロセスに対応します。

プロビジョニング・タスクは、「アイデンティティ・セルフ・サービス」の「オープン・タスク」セクションから表示および管理できます。これらのタスクは、リクエストによってインスタンス化されたタスク、ユーザーや管理者のキューで保留中の手動プロビジョニング・タスク、または失敗した自動プロビジョニング・タスクに対応します。

アテステーション・タスクは、「アイデンティティ・セルフ・サービス」の「保留アテステーション」セクションから表示および管理できます。これらのタスクは、ユーザーまたは管理者のキューの未処理アテステーション・プロセスに対応します。

注意:

アテステーション機能は、Oracle Identity Manager 11gリリース2 (11.1.2.1.0)では非推奨になっています。ただし、Oracle Identity Managerリリース9.x、11gリリース1 (11.1.1)または11gリリース2 (11.1.2)からアップグレードした場合は、この機能が使用可能です。

承認タスク、プロビジョニング・タスクおよびアテステーション・タスクは、管理者とエンドユーザーの両方が使用できます。たとえば、従業員にラップトップを配送するIT部門の担当者は、Oracle Identity Manager管理者ではありませんが、プロビジョニング・タスクを表示および変更する必要があります。

この章には次のトピックが含まれます。

- 統合された受信ボックスの使用方法

- 承認タスクの管理

- 証明レビュー・タスクの管理

- プロビジョニング・タスクの管理

- アテステーション・タスクの管理

10.1 統合された受信ボックスの使用方法

受信ボックスでは、ログイン・ユーザーに割り当てられたすべての承認タスクおよび証明レビュー・タスクが1つの画面に表示されます。これにより、ログイン・ユーザーはタスク・ビューをフィルタしてユーザー・プリファレンス(割当て済タスク、完了済タスク、情報がリクエストされたタスクなど)に含めることができます。タスクを選択して新しいタブでそのタスクを開き、そのタスクに対して必要なアクションを実行できます。これにより、様々なタブでそれらのタスクを開いて一度に複数のタスクを処理できます。受信ボックスにアクセスするには、Oracle Identity Self Serviceにログインし、左側のナビゲーション・ペインで「受信ボックス」をクリックします。

また、受信ボックスでは、タスクを検索して、それらをビューにまとめ、共有ビューを作成することもできます。使用可能なビューは、受信ボックスの「ワークリスト・ビュー」セクションにリストされます。ビューをクリックして、その内容(ビュー定義と一致するタスクをフィルタして示したもの)を表示できます。

次の各項で、ビューの管理について説明します。

- ビュー定義の作成

- ユーザー・プリファレンスの編集

- ビューの削除

- タスク・チャートの編集

10.1.1 ビュー定義の作成

受信ボックスでビュー定義を作成する手順は、次のとおりです。

1. 受信ボックスの「ワークリスト・ビュー」セクションで、「ビューの追加」アイコン(プラス・アイコン(+))をクリックします。「ユーザー・ビューの作成」ダイアログ・ボックスが表示されます。

2. 次のオプションのいずれかを選択します。

- ビューの作成: 新しいビューを作成する場合に選択します。「名前」フィールドにビューの名前を入力します。

- パブリック・ビューの使用: ユーザーに公開されている既存のビューをベースにしてビューを作成する場合に選択します。このオプションを選択すると、「名前」フィールドの隣に参照アイコンが表示されます。参照アイコンをクリックして「パブリック・ビューの選択」ダイアログ・ボックスを開き、新しいビューを作成するときにベースとするビューを選択して「OK」をクリックします。

注意:

ドメイン管理ユーザーとしてログインした場合は、すべてのユーザーがそのビューを表示できるようにビューをパブリックとして作成できます。パブリック・ビューを作成すると、そのパブリック・ビューは「標準ビュー」セクションに表示されます。詳細は、SOAのドキュメントを参照してください。

3. 「割当て先」、「タスク・タイプ」および「条件の追加」の各フィールドで、証明をビューに表示する際の基準とする検索条件を指定します。検索条件の指定の詳細は、「受信ボックスでの証明の検索」を参照してください。

4. 「ビューの共有」セクションで、次のいずれかを選択します。

- 定義のみ: 他のユーザーやグループとビュー定義を共有する場合は、このオプションを選択します。

- データ: ビューでデータまたは検索結果を共有する場合は、このオプションを選択します。

5. 「ユーザー」フィールドおよび「グループ」フィールドの隣の参照アイコンをクリックして、そのビューを共有するユーザーおよびグループをそれぞれ選択します。

6. 「OK」をクリックします。「ワークリスト・ビュー」セクションの「ユーザー・ビュー」リストにビューが追加されます。

10.1.2 ユーザー・プリファレンスの編集

自分に割り当てられている証明タスクまたは自分がレビューアになっている証明タスクがリストされている受信ボックスの列を変更できます。受信ボックスで列の表示/非表示方法を編集する手順は、次のとおりです。

1. 受信ボックスの「ワークリスト・ビュー」セクションで、「ユーザー・プリファレンスの編集」アイコンをクリックします。「ユーザー・プリファレンスの編集」ダイアログ・ボックスが表示されます。

ヒント:

「ワークリスト・ビュー」セクションがデフォルトで表示されていない場合は、「ワークリスト・ビュー」の横にある矢印をクリックして「ワークリスト・ビュー」を開きます。「ワークリスト・ビュー」を閉じるには、矢印をもう一度クリックします。

2. 「使用可能な列」リストで、表示する列を選択します。[Ctrl]キーを押しながら複数の列を選択できます。

3. 「選択項目を他のリストに移動」ボタンをクリックして、選択した列を「選択した列」リストに移動します。「使用可能な列」リスト内のすべての列を「選択した列」リストに移動するには、「全項目を他のリストに移動」ボタンをクリックします。

4. 「選択した列」リストから列を削除するには、[Ctrl]キーを押しながら列を選択し、「選択項目をリストから削除」ボタンをクリックします。

注意:

「タイトル」列は、「選択した列」リストから削除できません。タイトル列は常に、「受信ボックス」の最初の列として表示されます。

5. 「選択した列」リストの右側にある上向きと下向きの矢印キーをクリックして、列の順序を上または下に移動します。

6. 「ソート・キー列」リストで、証明データをソートする場合にソート基準とする列の名前を選択します。たとえば、リストで「優先度」を選択すると、受信ボックス内の証明タスクは優先度を基準にしてソートされます。

7. 「ソート順」として「昇順」または「降順」を選択します。

8. 「フェッチごとのタスク数」リストで、受信ボックスに一度に表示する証明タスクの数を選択します。

9. ユーザー言語設定で、「ブラウザ」または「アイデンティティ・プロバイダ」を選択し、それぞれWebブラウザまたはアイデンティティ・プロバイダの言語設定を選択します。

10. 「OK」をクリックします。「ユーザー・プリファレンスの編集」ダイアログ・ボックスで選択したオプションに従って証明タスクがリストされます。

10.1.3 ビューの削除

受信ボックス内のビューを削除する手順は、次のとおりです。

1. 受信ボックスの「ワークリスト・ビュー」セクションで、削除するビューを選択します。

2. 「ビューの削除」アイコン(クロス・アイコン)をクリックします。確認を求めるメッセージが表示されます。

3. 「はい」をクリックして確認します。

10.1.4 タスク・チャートの編集

受信ボックス内のタスク・ステータス情報を表示または非表示にする手順は、次のとおりです。

1. 受信ボックスの「タスク・ステータス」セクションで、「タスク・チャートの編集」アイコンをクリックします。「チャート表示状態」ダイアログ・ボックスが表示されます。

ヒント:

「タスク・ステータス」セクションがデフォルトで表示されていない場合は、「タスク・ステータス」の横にある矢印をクリックして「タスク・ステータス」を開きます。「タスク・ステータス」を閉じるには、矢印をもう一度クリックします。

2. 受信ボックスの「タスク・ステータス」セクションに表示するタスク・ステータス・オプションを選択します。タスク・ステータスを非表示にするには、タスク・ステータス・オプションの選択を解除します。

3. 「OK」をクリックします。

10.2 承認タスクの管理

Oracle Identity Managerリクエスト・サービスは、SOAサーバーと相互作用して、Oracle Identity Managerワークフローにおけるユーザー相互作用の様々な側面を処理します。このリクエスト・サービスは、ロールおよびユーザーにタスクを割り当てるために使用されます。ユーザーは、自分に割り当てられているタスクに対して様々な操作を実行できます。たとえば、タスクを承認、却下または要求したり、詳細情報をリクエストできます。対応するOracle Identity Managerワークフローのプロセス・フローは、特定のタスクの結果に依存します。

関連項目:

承認ワークフローの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』の承認および手動プロビジョニングのワークフローの開発に関する説明を参照してください。

リクエストを送信すると、Oracle SOAサーバーでは、リクエスト・サービスによって承認がタスクとして開始されます。このタスクは、承認者に割り当てられます。リクエスト・サービスによるこのリクエストのその後の処理は、対応するタスクの結果に依存するため、保留のままとなります。承認者は、自分に割り当てられているすべてのタスクがリストされる、「受信ボックス」セクションにアクセスできる必要があります。承認者は、このタスクを実行してその結果を設定できます(承認や却下など)。タスク結果が設定されると、リクエスト・サービスは、タスク結果に基づいてリクエストの処理を再開します。

リクエストの送信が成功すると、リクエスト・サービスはSOAにヒューマン・タスクを作成し、それらをOracle Identity Managerのユーザーまたはロールに割り当てます。認証済ユーザーは、アクションを待機しているタスクを「受信ボックス」セクションに表示できます。

この項では、「受信ボックス」セクションで実行できる次のタスク・アクションについて説明します。

- 承認タスクの表示

- タスクの検索

- タスクの詳細の表示

- タスクの承認

- タスクの却下

- タスクの再割当て

- タスクの一時停止

- タスクの取消し

注意:

「受信ボックス」セクションのタスク・アクションの実行に関連する機能は、Oracle SOAによって提供されています。タスク・アクションの詳細は、『Oracle Fusion Middleware Oracle SOA Suite開発者ガイド』を参照してください。

10.2.1 承認タスクの表示

承認の詳細を表示する手順は、次のとおりです。

1. Identity Self Serviceにログインします。

2. 左ペインで、「受信ボックス」をクリックします。
「ワークリスト・ビュー」ページが表示されます。デフォルトでは、統合受信ボックス・ビューにすべてのタイプのタスクが表示されます。

「ワークリスト・ビュー」ページの表10-1で説明する列にタスクの詳細が表示されます。

表10-1 「承認の詳細」ページの列

列

説明

役職

タスクのタイトル。

番号

タスクの番号。

優先度

タスクの優先度。

割当て先

タスクが割り当てられたユーザー。

都道府県

「割当て済」や「完了」など、タスクの状態。

作成日時

タスクが作成された時点のタイプ・スタンプ。

有効期限

タスクが期限切れになる時点のタイプ・スタンプ。

3. 「ワークリスト・ビュー」メニューで、「ユーザー作業キュー」を開きます(まだ開いていない場合)。

4. 「ユーザー作業キュー」メニューで、次のいずれかのビューを選択できます。

- 期日が近い: 数日以内に期限があるすべてのタスクが表示されます。

- 高優先度: 高優先度のすべてのタスクが表示されます。

- 前日: 前日に割り当てられたすべてのタスクが表示されます。

- 前週: 前週に割り当てられたすべてのタスクが表示されます。

- 前月: 前月に割り当てられたすべてのタスクが表示されます。

- 前四半期: 前四半期に割り当てられたすべてのタスクが表示されます。

- 手動プロビジョニング: 手動プロビジョニング用に作成したすべてのタスクが表示されます。

- 新規タスク: 作成されたすべての新規タスクが表示されます。

- 保留中の承認: 承認を保留しているすべてのタスクが表示されます。

- 保留中の証明: 証明を保留しているすべてのタスクが表示されます。

5. 「割当て先」リストから、次のいずれかを選択します。

- 個人: 自分に割り当てられているすべてのタスクが表示されます。

- グループ: 自分が所有するロールに割り当てられているすべてのタスクが表示されます。

- 個人とグループ: 自分および自分が所有するロールに割り当てられているすべてのタスクが表示されます。

- 個人とすべてのグループ: 自分および自分が所有するすべてのロールに割り当てられているすべてのタスクが表示されます。

- 個人(以前): 以前に自分に割り当てられていたが、現在は割り当てられていないすべてのタスクが表示されます。

- 個人(レビューのみ): レビューのために自分に割り当てられているすべてのタスクが表示されます。

6. 「状態」リストから、次のいずれかを選択します。

- 任意: 状態に関係なく、自分のキュー内にあるすべてのタスクが表示されます。

- 割当て済: 現在自分に割り当てられているすべてのタスクが表示されます。

- 完了: 自分のキュー内にある、完了したすべてのタスクが表示されます。

- 一時停止: 自分のキュー内にある、一時停止されているすべてのタスクが表示されます。

- 取消し済: 自分のキュー内にある、取り消されたすべてのタスクが表示されます。

- 有効期限切れ: 自分のキュー内にある、有効期限切れのすべてのタスクが表示されます。

- エラー発生: 自分のキュー内にある、エラーが発生したすべてのタスクが表示されます。

- アラート済: 自分のキュー内にある、割当て先にアラート済のすべてのタスクが表示されます。

- リクエストされた情報: 自分のキュー内にある、情報がリクエストされたすべてのタスクが表示されます。

「ユーザー作業キュー」メニュー、「割当て先」リストおよび「状態」リストから適切なオプションを選択して、選択したオプションの組合せに応じたタスクのリストを表示できます。

10.2.2 タスクの検索

「承認の詳細」ページでは、次の検索操作を実行できます。

- タスクの単純検索の実行

- タスクの拡張検索の実行

10.2.2.1 タスクの単純検索の実行

タスクの単純検索を実行する手順は、次のとおりです。

1. 左ペインで、「受信ボックス」をクリックします。

2. 任意のタブの「検索」フィールドに検索基準を入力します。たとえば、「検索」フィールドにrequestを入力すると、タスクのタイトルにrequestという語を含むすべてのタスクが表示されます。

注意:

単純検索ではワイルドカード文字はサポートされていません。

3. 「検索」フィールドの横のアイコンをクリックします。指定した検索基準に一致するタスクが表示されます。

10.2.2.2 タスクの拡張検索の実行

タスクの拡張検索を実行する手順は、次のとおりです。

1. 「受信ボックス」セクションを開きます。

2. 任意のタブで、「拡張」をクリックします。「拡張検索」ダイアログ・ボックスが表示されます。

3. 検索するタスク・タイプを指定するには、「タスク・タイプ」フィールドの横にある参照アイコンをクリックします。「タスク・タイプ・ブラウザ」ダイアログ・ボックスが表示されます。

4. 「検索」をクリックします。使用可能なタスク・タイプがプロセス名とともに表示されます。

5. タスク・タイプを選択します。図10-1に示すように、プロセス・タイプの詳細が右側のパネルに表示されます。

図10-1 「タスク・タイプ・ブラウザ」ダイアログ・ボックス

「図10-1 「タスク・タイプ・ブラウザ」ダイアログ・ボックス」の説明

6. 「OK」をクリックします。タスク・タイプが「タスク・タイプ」フィールドに追加されます。

7. 「条件の追加」リストから条件を選択します。例として、「割当て先」を選択します。

8. 条件をさらに追加するには、「条件の追加」リストの横にあるプラス・アイコン(+)をクリックします。「割当て先」フィールドが追加されています。

9. 「割当て先」フィールドに対して、「次を含む」や「次を含まない」などの検索演算子を選択します。

10. 割当て先を検索して選択するには、「割当て先」フィールドの横にある参照アイコンをクリックします。「アイデンティティ・ブラウザ」ダイアログ・ボックスが表示されます。

11. リストから、割当て先として表示する「ユーザー」を選択します。

12. フィールドで「名」、「姓」、「ユーザーID」などの検索条件を指定して、「検索」をクリックします。検索条件に一致するユーザーのリストが表示されます。

13. 割当て先に指定するユーザーを選択します。図10-2に示すように、ユーザーの詳細が表示されます。

図10-2 アイデンティティ・ブラウザ

「図10-2 アイデンティティ・ブラウザ」の説明

14. 「OK」をクリックします。選択したユーザーが「拡張検索」ダイアログ・ボックスの「割当て先」フィールドに追加されます。

15. 指定した検索条件を今後使用するビューとして保存する場合は、次の操作を実行します。

1. 「検索をビューとして保存」オプションを選択します。図10-3に示すように、保存された検索に関連するいくつかのフィールドが表示されます。

図10-3 「拡張検索」ダイアログ・ボックス

「図10-3 「拡張検索」ダイアログ・ボックス」の説明

2. ビューを共有するために、次のいずれかを選択します。

- 定義のみ: 検索されるデータを使用せずに、ビューの定義を共有します。

- データ: 保存された検索の定義だけでなくデータも共有します。

3. 「ユーザー」フィールドおよび「グループ」フィールドで、保存された検索をビューとして共有するユーザーとグループを検索して選択します。

4. 「ビューとして保存」をクリックします。検索がビューとして保存されます。

16. 「検索」をクリックします。指定した検索条件に一致するタスクが表示されます。

10.2.3 タスクの詳細の表示

「受信ボックス」セクションの任意のタブの任意の承認タスクのリクエスト・タイトルリンクをクリックすると、その承認タスクのタスク詳細が新しいタブに表示されます。

「タスクの詳細」ページの「サマリー情報」セクション、「リクエストの詳細」タブ、「承認」タブ、および「カート詳細」セクションには、リクエストの詳細ビューが表示されます。リストされているタスクを完全に管理できます。

承認者は「カート詳細」セクションでデータを入力でき、このセクションがない場合(フィールドが必須とマークされている場合)、承認者はリクエストを承認できません。たとえば、承認者が自己登録リクエストに関連するタスクを開くと、「組織」フィールドは必須とマークされますが、リクエスタによってこのフィールドに値は指定されません。したがって、この必須フィールドには承認者が値を指定する必要があります。

承認の次のレベルで、承認者は必要に応じてデータを変更できます。同様に、承認者が詳細情報をリクエストするためにタスクを別のユーザーに送信すると(「リクエスト情報」操作を使用)、割り当てられたユーザーは、「タスクの詳細」で「追加のリクエスト情報」という追加セクションを表示できるため、このユーザーはリクエストされた情報に対するレスポンスを送信できます。

さらに、次のタブには、リクエストに関連する詳細が表示されます。

- リクエストの詳細: このタブには、「ターゲット・ユーザー」や「受益者情報」、および「関連リクエスト」(ある場合)が表示されます。

- 承認: すべての承認者による完全な承認フロー。「将来の参加者」オプションを選択すると、次のレベルの承認者を表示できます。「フル・タスク・アクション」オプションを選択すると、タスクのすべての承認を表示できます。

「タスクの詳細」ページで実行できる様々な操作については、以降の各項で説明します。

10.2.4 コメントと添付ファイルの追加

タスクの詳細を表示した後、リクエストの承認、却下または再割当てなどのタスクに対する操作を実行する前に、コメントと添付ファイルを追加できます。添付ファイルにはハイパーリンクまたは実際のファイルのいずれかを指定できます。アップロードする添付ファイルのサイズは2MB未満にすることをお薦めします。2MBを超えるサイズの添付ファイルをアップロードする場合は、ADF構成を変更して、サイズ制限を増やす必要があります。詳細は、『Oracle Fusion Middleware Oracle Application Development Framework Fusion開発者ガイド』を参照してください。

コメントおよび添付ファイルを追加する手順は、次のとおりです。

1. 「受信ボックス」セクションを開きます。

2. 任意のタブで、コメントまたは添付ファイルを追加するタスクを検索して選択します。新しいタブにタスクの詳細が表示されます。

3. コメントを追加するには:

1. 「承認」タブをクリックします。

2. 「コメントの作成」アイコンをクリックします。「コメントの作成」ダイアログ・ボックスが表示されます。

3. 「コメント」フィールドに、タスクに関連するコメントを入力し、「OK」をクリックします。

4. 「保存」をクリックし、コメントを保存します。

4. 添付ファイルを追加するには:

1. 「添付ファイル」セクションが展開されていない場合は、展開します。

2. 「添付ファイルの追加」アイコンをクリックします。「添付ファイルの追加」ダイアログ・ボックスが表示されます。

3. 添付ファイルのタイプとして、次のいずれかのオプションを選択します。

- URL: 添付ファイルへのURLを指定します。

- 「デスクトップ・ファイル」: デスクトップからファイルを選択およびアップロードできます。

4. 「OK」をクリックします。

10.2.5 タスクの承認

自分に割り当てられているタスクを承認する手順は、次のとおりです。

1. 「受信ボックス」セクションを開きます。

2. 承認するタスクを検索して選択します。

3. 新しいタブに詳細を表示するタスクをクリックして、「承認」をクリックします。
タスクが承認されて、タスク表に表示されなくなります。

注意:

自己登録リクエストは、デフォルトでシステム管理者ロールに割り当てられます。自己登録リクエストを承認するには、その前にシステム管理者ロールのメンバーとして自己登録タスクを要求して、組織名を指定し、リクエストを更新する必要があります。

10.2.6 タスクの却下

自分に割り当てられているリクエストを却下する手順は、次のとおりです。

1. 「受信ボックス」セクションを開きます。

2. 却下するタスクを検索して選択します。

3. 新しいタブに詳細を表示するタスクをクリックして、任意のコメントを入力します。次に、「却下」をクリックします。タスクが却下されて、「承認の詳細」ページのタスク表に表示されなくなります。

10.2.7 タスクの再割当て

自分に割り当てられているリクエストを再割当てする手順は、次のとおりです。

1. 「受信ボックス」セクションを開きます。

2. 再割当てするタスクを検索して選択します。

3. 新しいタブに詳細を表示するタスクをクリックします。次に、「タスク・アクション」メニューから「再割当て」を選択します。
「タスクの再割当て」ダイアログ・ボックスが表示されます。

4. 次のオプションのいずれかを選択します。

- 再割当て(タスクを別のユーザーまたはグループに転送します): タスクを別のユーザー、グループまたはアプリケーション・ロールに再割当てします。このオプションを選択すると、再割当て用のユーザー、グループまたはアプリケーション・ロールを検索および選択できます。

- 委任(特定のユーザーがかわりに操作することを許可します): 検索および選択可能なユーザーにタスクを委任します。委任されたユーザーは、元のユーザーのかわりにタスクを操作します。委任先の権限は委任元の権限に基づいています。

5. タスクを割り当てるユーザーまたはグループを検索した後、「選択項目を他のリストに移動」アイコンをクリックして、「選択済」リストに選択内容を含めます。

6. 「OK」をクリックします。タスクが割り当てられます。

10.2.8 タスクの一時停止

タスクを一時停止する手順は、次のとおりです。

1. 「承認の詳細」ページで、一時停止するリクエストを検索して選択します。

2. 新しいタブに詳細を表示するタスクをクリックします。次に、「タスク・アクション」メニューから「一時停止」を選択します。
タスクが正常に一時停止されたことを示すメッセージが表示されます。

10.2.9 タスクの取消し

タスクを取り消す手順は、次のとおりです。

1. 「承認の詳細」ページで、取り消すリクエストを検索して選択します。

2. 新しいタブに詳細を表示するタスクをクリックします。次に、「タスク・アクション」メニューから「取消」を選択します。
タスクが正常に取り消されたことを示すメッセージが表示されます。

10.3 証明レビュー・タスクの管理

受信ボックスを使用して、証明を表示し、証明について決断を下すことができます。この項の次のトピックで受信ボックスでの証明の操作について説明します。

- 証明の検索と表示

- 証明の完了

注意:

この項では、受信ボックスで実行できるアクションについて説明します。アイデンティティの証明の概要とダッシュボードを使用して実行できる操作の詳細は、第15章「アイデンティティの証明の使用」を参照してください。

10.3.1 証明の検索と表示

この項では、受信ボックスおよびダッシュボードでの証明の検索とフィルタの方法について説明します。次の各項では、証明の詳細の表示方法について説明します。

- 受信ボックスでの証明の検索

- 受信ボックスからの証明タスクへのアクセス

10.3.1.1 受信ボックスでの証明の検索

受信ボックスでは、指定した検索基準に基づいて単純検索および拡張検索を実行できます。

証明の単純検索を実行する手順は、次のとおりです。

1. Oracle Identity Self Serviceにログインします。

2. 左ペインで、「受信ボックス」をクリックします。受信ボックスが開き、自分に割り当てられた証明レビュー・タスク(およびその他の承認タスク)のリストが表示されます。

3. 「状態」リストで、検索する証明ステータスを選択します(「割当て済」や「完了」など)。ステータスに関係なく任意の証明を検索する場合は、「任意」を選択します。

4. 「検索」ボックスで、検索基準を指定します(「証明名」など)。

5. 検索アイコンをクリックします。検索基準に一致する証明が検索結果表に表示されます。

証明の拡張検索を実行する手順は、次のとおりです。

1. Oracle Identity Self Serviceにログインします。

2. 左ペインで、「受信ボックス」をクリックします。受信ボックスが開き、自分に割り当てられた証明レビュー・タスク(およびその他の承認タスク)のリストが表示されます。

3. 「検索」アイコンの隣にある「拡張」をクリックします。「拡張検索」ダイアログ・ボックスが表示されます。

4. 「タスク・タイプ」フィールドの横にある参照アイコンをクリックします。「タスク・タイプ・ブラウザ」が表示されます。

5. 「検索」をクリックします。使用可能なタスク・タイプのリストが表示されます。

6. 検索基準として指定するタスク・タイプを選択します。タスク・タイプの詳細が「詳細」ペインに表示されます。

7. 「OK」をクリックします。選択したタスク・タイプが「タスク・タイプ」フィールドに移入されます。

8. 「条件の追加」リストで、フィールド名を選択します(「開始日」など)。

9. プラス記号のアイコン(+)をクリックします。検索条件を指定するフィールドが表示されます。

10. 「開始日」リストで、条件を選択します(「が次の日付」、「次と等しい」、「次より大きい」など)。

11. 隣接する日付フィールドで、検索条件を形成する際に基準とする日付を指定します。

12. (オプション)受信ボックスで検索基準をビューとして保存する場合は、「検索をビューとして保存」オプションを選択します。検索をビューとして保存する手順は、次のとおりです。

1. 「名前」フィールドで、ビューの名前を入力します。

2. 「ビューの共有」セクションで、次のいずれかを選択します。

- 定義のみ: 他のユーザーやグループとビュー定義を共有する場合は、このオプションを選択します。

- データ: ビューでデータまたは検索結果を共有する場合は、このオプションを選択します。

3. 「ユーザー」フィールドおよび「グループ」フィールドの隣の参照アイコンをクリックして、そのビューを共有するユーザーおよびグループをそれぞれ選択します。

4. 「ビューとして保存」をクリックします。「ワークリスト・ビュー」のリストの「ユーザー・ビュー」セクションにビューが追加されます。

13. 完全な検索基準を指定したら、「検索」をクリックします。検索基準に一致する証明が検索結果表に表示されます。

ヒント:

検索結果表のデータをソートするには、列名の上にマウス・ポインタを置きます。上向きと下向きの矢印が列名の上に表示されます。上向き矢印をクリックすると、昇順にソートされます。下向き矢印をクリックすると、降順にソートされます。

10.3.1.2 受信ボックスからの証明タスクへのアクセス

この項では、証明のタイプ別の証明タスクへのアクセス方法を説明します。

- ユーザー証明の詳細の表示

- ロール証明の詳細の表示

- アプリケーション・インスタンス証明の詳細の表示

- 権限証明の詳細の表示

注意:

証明の詳細、ユーザー・アクセス権限の詳細、ロールのコンテンツおよびメンバーシップ、アプリケーション・インスタンスおよび権限のアカウントの詳細が表示されるページでは、ページのコンテンツをパーソナライズできます。たとえば、保存された検索を使用したり、列の表示/非表示を切り替えたり、列のデータをソートしたりできます。これらのパーソナライズ機能は、Oracle Identity Self Serviceのすべてのページでほぼ同じです。Oracle Identity Self Serviceでのページのパーソナライズの詳細は、第5章「セルフ・サービスのパーソナライズ」を参照してください。

10.3.1.2.1 ユーザー証明の詳細の表示

ユーザー証明の詳細を表示する手順は、次のとおりです。

1. Oracle Identity Self Serviceの左ペインで、「受信ボックス」をクリックします。受信ボックスが開き、自分に割り当てられた、自分がプライマリ・レビューアまたは委任レビューアとなっている証明タスクのリストが表示されます。

2. 証明タスクの名前をクリックして、その証明タスクを新しいページで開きます。証明タスクの1ページ目、つまりユーザー証明のサマリー・ページが新しいページに開きます。

3. ユーザーの詳細の次のセクションを確認します。

- ページの一番上にユーザー証明名と証明作成日が表示されます。証明名の隣にある情報アイコンをクリックすると、ポップアップが開き、現在レビューしている証明の詳細な統計が表示されます。

- ユーザーがリストされている表では、ユーザー名がハイパーリンクになっています。このハイパーリンクをクリックすると、そのユーザーのアクセス詳細が開きます。

- 「詳細情報」セクションは、次のタブで構成されています。

- ユーザー情報: このタブには、証明の生成時に証明スナップショットに含められたユーザー属性が表示されます。ユーザー名はハイパーリンクです。新しいタブにユーザー詳細を表示するユーザー名をクリックします。

- リスクのサマリー: このタブでは、様々な要因に基づいてユーザーのリスクのサマリーが「高」/「中」/「低」になっている理由が示されます。このタブの円グラフには、ユーザーのリスクの全体的分析結果が示されます。グラフの任意の領域をクリックすると、ユーザー証明の詳細画面が開きます。リスク項目をツールチップで表示するには、マウス・ポインタをグラフの上に置きます。
このタブには、ユーザーが持つロール、アカウントおよび権限と、それらに関連付けられたリスク・レベルに基づいてリスク・レベルを分析したグラフも表示されます。グラフの任意の領域をクリックすると、ユーザー証明の詳細画面が開きます。リスク項目をツールチップで表示するには、マウス・ポインタをグラフの上に置きます。

- アクション履歴: このタブには、ユーザーの詳細ページで使用可能な各種の委任パスと、レビューアおよびOracle Identity Managerによって実行されたアクションの追跡が表示されます。表示される可能性のある詳細としては、「アクション」メニューにあるすべてのアクションと、プロキシ、エスカレートおよび有効期限切れがあげられます。

4. ロールの詳細の次のセクションを確認します。

- 「ユーザーの詳細」セクションには、証明の生成時に証明スナップショットに含められたユーザー属性が表示されます。

- 表には、ロールが「表示名」、「アクション」および「リスクのサマリー」とともにリストされます。

- 「詳細情報」セクションは、次のタブで構成されています。

- カタログ情報: このタブには、デフォルトのスナップショット生成の一環として含められたデフォルトのカタログ属性が表示されます。「名前」フィールドと「所有者」フィールドは、ハイパーリンク化されています。これらのハイパーリンクをクリックすると、ロールの詳細ページとユーザーの詳細ページが新しいタブで開きます。

- リスクのサマリー: このタブでは、「項目のリスク」、最終証明決定、「プロビジョニング方法」などの様々な要因に基づいてロールのリスクのサマリーが「高」、「中」または「低」になっている理由が示されます。「プロビジョニング方法」フィールドは、ハイパーリンク化されています。このハイパーリンクをクリックすると、該当するアクセス・ポリシーまたはアクセス・リクエストの詳細が新しいタブで開きます。

- 証明履歴: このタブには、指定の行項目に対してレビューアが過去に行った様々な証明決定が表示されます。

- アクション履歴: このタブには、レビューアが特定の決定を行ったフェーズが表示されます。可能な値としては、「アクション」メニューにあるすべてのアクションと、プロキシ、エスカレートおよび有効期限切れがあげられます。

5. アカウントの詳細の次のセクションを確認します。

- 表には、アカウント名とアプリケーション・インスタンス名が、そのアカウントに関連付けられた基礎となる権限とともに表示されます。アカウントと権限は別々のアイコンで示されます。

- 「詳細情報」セクションは、次のタブで構成されています。

- カタログ情報: このタブには、デフォルトのカタログ属性であるアカウントの詳細が表示されます。これらの属性は、デフォルトのスナップショット生成の一環として含められる必要があります。「名前」フィールドと「証明者」フィールドは、ハイパーリンク化されています。これらのハイパーリンクをクリックすると、アカウントの詳細ページとユーザーの詳細ページが新しいタブで開きます。

- リスクのサマリー: このタブでは、「項目のリスク」、最終証明決定、「プロビジョニング方法」などの様々な要因に基づいてアカウントのリスクのサマリーが「高」、「中」または「低」になっている理由が示されます。「プロビジョニング方法」フィールドでは、アクセス・リクエストがハイパーリンク化されています。このハイパーリンクをクリックすると、該当するアクセス・ポリシーまたはアクセス・リクエストの詳細が新しいタブで開きます。

- 証明履歴: このタブには、指定の行項目に対してレビューアが過去に行った様々な証明決定が表示されます。

- アクション履歴: このタブには、レビューアが特定の決定を行ったフェーズが表示されます。可能な値としては、「アクション」メニューにあるすべてのアクションと、プロキシ、エスカレートおよび有効期限切れがあげられます。

6. 権限の詳細の次のセクションを確認します。

- 表には、アカウント名とアプリケーション・インスタンス名が、そのアカウントに関連付けられた基礎となる権限とともに表示されます。アカウントと権限は別々のアイコンで示されます。

- 「詳細情報」セクションは、次のタブで構成されています。

- カタログ情報: このタブには、デフォルトのカタログ属性である権限の詳細が表示されます。これらの属性は、デフォルトのスナップショット生成の一環として含められる必要があります。「表示名」フィールドと「証明者」フィールドは、ハイパーリンク化されています。権限の表示名をクリックすると、きめ細かい権限階層が新しいタブに表示されます(この権限階層が特定の権限のカタログに取得されている場合)。証明者名をクリックすると、ユーザーの詳細ページが新しいタブで開きます。

- リスクのサマリー: このタブでは、「項目のリスク」、最終証明決定、「プロビジョニング方法」などの様々な要因に基づいて権限のリスクのサマリーが「高」、「中」または「低」になっている理由が示されます。「プロビジョニング方法」フィールドは、ハイパーリンク化されています。このハイパーリンクをクリックすると、該当するアクセス・ポリシーまたはアクセス・リクエストの詳細が新しいタブで開きます。

- 証明履歴: このタブには、指定の行項目に対してレビューアが過去に行った様々な証明決定が表示されます。

- アクション履歴: このタブには、レビューアが特定の決定を行ったフェーズが表示されます。可能な値としては、「アクション」メニューにあるすべてのアクションと、プロキシ、エスカレートおよび有効期限切れがあげられます。

7. 証明タスクの次のユーザーのアクセス権の詳細を表示するには、ページの上部にある「次」をクリックします。「最初」、「前」、「次」および「最後」ボタンをクリックして、各ユーザーのアクセス権のページ間を移動できます。「サマリーに戻る」をクリックすると、ユーザー証明の詳細ページに戻ります。

10.3.1.2.2 ロール証明の詳細の表示

ロール証明の詳細を表示する手順は、次のとおりです。

1. Oracle Identity Self Serviceの左ペインで、「受信ボックス」をクリックします。受信ボックスが開き、自分に割り当てられた、自分がプライマリ・レビューアまたは委任レビューアとなっている証明タスクのリストが表示されます。

2. 証明タスクの名前をクリックして、その証明タスクを新しいページで開きます。証明タスクの1ページ目、つまりロール証明のサマリー・ページが開きます。

3. ロール証明の詳細ページの次のセクションを確認します。

- ページの一番上にロール証明名と証明作成日が表示されます。証明名の隣にある情報アイコンをクリックすると、ポップアップが開き、現在レビューしている証明の詳細な統計が表示されます。

- ロールがリストされている表では、ユーザー名がハイパーリンクになっています。このハイパーリンクをクリックすると、ロールの詳細が開きます。表には、「メンバー」列と「ポリシー」列も表示されます。

- 証明表でロールを選択します。「詳細情報」セクションには、次のタブが表示されます。

- カタログ情報: このタブには、選択したロールのすべてのカタログ属性が表示されます。「ロール名」フィールドと「証明者」フィールドは、ハイパーリンク化されています。これらのハイパーリンクをクリックすると、ロールの詳細とユーザーの詳細が新しいタブで開きます。

- アクション履歴: このタブには、ロールの詳細ページで使用可能な各種の委任パスと、レビューアおよびOracle Identity Managerによって実行されたアクションの追跡が表示されます。可能なアクションとしては、委任、再割当て、エスカレートおよびプロキシがあげられます。

4. 証明表で、ロール名をクリックしてロールの詳細を開きます。ロールの詳細ページは、次のタブで構成されています。

- メンバー: このタブには、開いているロールのロール・メンバーシップがリストされます。メンバー表で行を選択して、「詳細情報」セクションを表示します。このセクションは、「ユーザー情報」タブ、「リスクのサマリー」タブ、「証明履歴」タブおよび「アクション履歴」タブで構成されています。

- ポリシー: このタブには、開いているロールに関連付けられたポリシーがリストされます。ポリシー表で行を選択して、「詳細情報」セクションを表示します。このセクションは、「ポリシー情報」タブ、「証明履歴」タブおよび「アクション履歴」タブで構成されています。

5. 「ポリシー」タブで、ポリシーの隣にあるアイコンをクリックしてポリシーを開きます。ポリシーに関連付けられた権限が表にリストされます。「詳細情報」セクションで、権限の詳細を表示する権限を選択します。権限の詳細は、「カタログ情報」タブ、「証明履歴」タブおよび「アクション履歴」タブに表示されます。

6. 証明タスクの次のロールのロール・コンテンツとロール・メンバーを表示するには、ページの上部にある「次」をクリックします。「最初」、「前」、「次」および「最後」ボタンをクリックして、各ロールのロール・コンテンツおよびロール・メンバーの詳細のページ間を移動できます。「サマリーに戻る」をクリックすると、ロール証明の詳細ページに戻ります。

10.3.1.2.3 アプリケーション・インスタンス証明の詳細の表示

アプリケーション・インスタンス証明の詳細を表示する手順は、次のとおりです。

1. Oracle Identity Self Serviceの左ペインで、「受信ボックス」をクリックします。受信ボックスが開き、自分に割り当てられた、自分がプライマリ・レビューアまたは委任レビューアとなっている証明タスクのリストが表示されます。

2. 証明タスクの名前をクリックして、その証明タスクを新しいページで開きます。証明タスクの1ページ目、つまりアプリケーション・インスタンス証明のサマリー・ページが開きます。

3. アプリケーション・インスタンス証明の詳細ページの次のセクションを確認します。

- ページの一番上にアプリケーション・インスタンス証明名と証明作成日が表示されます。証明名の隣にある情報アイコンをクリックすると、ポップアップが開き、現在レビューしている証明の詳細な統計が表示されます。

- アプリケーション・インスタンスがリストされている表では、アプリケーション・インスタンス名がハイパーリンクになっています。このハイパーリンクをクリックすると、選択したアプリケーション・インスタンスに属するアカウントがリストされます。

- 証明表でアプリケーション・インスタンスを選択します。「詳細情報」セクションには、次のタブが表示されます。

- カタログ情報: このタブには、選択したアプリケーション・インスタンスのすべてのカタログ属性が表示されます。「証明者」フィールドは、ハイパーリンク化されています。このハイパーリンクをクリックすると、ユーザーの詳細が新しいタブで開きます。

- アクション履歴: このタブには、アプリケーション・インスタンスの詳細ページで使用可能な各種の委任パスと、レビューアおよびOracle Identity Managerによって実行されたアクションの追跡が表示されます。可能な値としては、「アクション」メニューにあるすべてのアクションと、委任、再割当て、エスカレートおよびプロキシがあげられます。

4. 証明表で、アプリケーション・インスタンス名をクリックしてアプリケーション・インスタンスの詳細を開きます。このページには、アプリケーション・インスタンス名とアカウント名が、そのアカウントに関連付けられた基礎となる権限とともにリストされます。

5. 「詳細情報」セクションにアカウントの詳細を表示するアカウントをクリックします。このセクションの「カタログ情報」タブ、「リスクのサマリー」タブ、「証明履歴」タブおよび「アクション履歴」タブにアカウントの詳細が表示されます。

6. 「詳細情報」セクションで権限の詳細を表示する権限をクリックします。このセクションの「カタログ情報」タブ、「リスクのサマリー」タブ、「証明履歴」タブおよび「アクション履歴」タブに権限の詳細が表示されます。

7. 証明タスクの次のアプリケーション・インスタンスのアカウントを持つ一連のユーザーを表示するには、ページの上部にある「次」をクリックします。「最初」、「前」、「次」および「最後」ボタンをクリックして、各アプリケーション・インスタンスのアカウントの詳細のページ間を移動できます。「サマリーに戻る」をクリックすると、アプリケーション・インスタンス証明の詳細ページに戻ります。

10.3.1.2.4 権限証明の詳細の表示

権限証明の詳細を表示する手順は、次のとおりです。

1. Oracle Identity Self Serviceの左ペインで、「受信ボックス」をクリックします。受信ボックスが開き、自分に割り当てられた、自分がプライマリ・レビューアまたは委任レビューアとなっている証明タスクのリストが表示されます。

2. 証明タスクの名前をクリックして、その証明タスクを新しいページで開きます。証明タスクの1ページ目、つまり権限証明の詳細ページが開きます。

3. 権限証明の詳細ページの次のセクションを確認します。

- ページの一番上に権限証明名と証明作成日が表示されます。証明名の隣にある情報アイコンをクリックすると、ポップアップが開き、現在レビューしている証明の詳細な統計が表示されます。

- 権限がリストされている表では、権限名がハイパーリンクになっています。このハイパーリンクをクリックすると、選択した権限の権限割当ての詳細が表示されます。

- 証明表で権限を選択します。「詳細情報」セクションには、次のタブが表示されます。

- カタログ情報: このタブには、選択したアプリケーション・インスタンスのすべてのカタログ属性が表示されます。「表示名」フィールドと「証明者」フィールドは、ハイパーリンク化されています。これらのハイパーリンクをクリックすると、権限の詳細とユーザーの詳細が新しいタブで開きます。

- アクション履歴: このタブには、権限の詳細ページで使用可能な各種の委任パスと、レビューアおよびOracle Identity Managerによって実行されたアクションの追跡が表示されます。可能な値としては、「アクション」メニューにあるすべてのアクションと、委任、再割当て、エスカレートおよびプロキシがあげられます。

4. 証明表で、権限名をクリックして権限割当ての詳細を開きます。このページには、選択した権限のアカウント名がリストされます。

5. 「詳細情報」セクションにアカウントの詳細を表示するアカウントをクリックします。このセクションの「アカウント所有者情報」タブ、「リスクのサマリー」タブ、「証明履歴」タブおよび「アクション履歴」タブにアカウントの詳細が表示されます。

6. 「詳細情報」セクションで権限の詳細を表示する権限をクリックします。このセクションの「カタログ情報」タブ、「リスクのサマリー」タブ、「証明履歴」タブおよび「アクション履歴」タブに権限の詳細が表示されます。

7. 証明タスクの次の権限のアカウントを持つ一連のユーザーを表示するには、ページの上部にある「次」をクリックします。「最初」、「前」、「次」および「最後」ボタンをクリックして、各権限のアカウントの詳細のページ間を移動できます。「サマリーに戻る」をクリックすると、権限証明の詳細ページに戻ります。

10.3.2 証明の完了

次の各項で、証明の完了について説明します。

- ユーザー証明の完了

- ロール証明の完了

- アプリケーション・インスタンス証明の完了

- 権限証明の完了

10.3.2.1 ユーザー証明の完了

ユーザー証明では、マネージャが従業員および各従業員のロール割当て、アカウントおよび権限割当てを検証できます。ユーザー証明の完了には次の手順が含まれます。

1. ユーザーに対する証明決定の実施

2. ロールと権限のレビュー

3. ユーザー証明の終了

10.3.2.1.1 ユーザーに対する証明決定の実施

証明タスクを開くときに、各ユーザーのアクセスの検証が必要になることがあります。この検証手順は、証明定義に設定されている構成設定に基づいてオプションとなります。検証が必要ない場合は、ユーザーの初期サマリー・ビューはスキップされ、ユーザーの詳細ビューが表示されます。

検証が必要な場合は、自分がレビューを依頼された各ユーザーに対して決定を行う必要があります。手順は次のとおりです。

1. 受信ボックスで、新規または進行中の証明レビュー・タスクを開きます。証明タスクの1ページ目がユーザーのリストとともに表示されます。

2. ユーザーのリストをレビューして、各従業員が自分の部下であり、それらの従業員のアクセスの検証を自分が担当していることを確認します。

3. 「アクション」メニューで、ユーザーごとに次のいずれかを選択します。

- 要求: ユーザーを自分の証明の検証キューに戻す場合に選択します。証明構成の値によっては、これが自動的に行われることがあります。証明構成オプションの詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のIdentity System Administrationでの証明オプションの構成に関する項を参照してください。ただし、各ユーザーが自動的に要求される場合でも、自由に別のアクションを選択できます。

- 失効: ユーザーが組織に所属しなくなった場合にこれを選択します。このアクションによって、ユーザーが証明プロセスから削除されます。自分ではこのユーザーのロールおよび権限の承認や失効化を行いません。ユーザーを自分の検証キューに戻すには、ユーザー名を選択して、「アクション」メニューの「要求」を選択します。

- 再割当て: ユーザーが誰かの部下で、その人物がユーザーに割り当てられたロールと権限の検証を担当する必要がある場合に、これを選択します。このアクションでは、選択したユーザーが現在の証明から削除され、選択したユーザーで新しい証明が作成され、その新しい証明のプライマリ・レビューアとして自分が指定する人物が割り当てられます。

- 棄権: 従業員が自分の部下ではなく、そのユーザーに割り当てられたロールおよび権限の検証の担当者が不明な場合に、これを選択します。各ロールおよび権限のユーザー・レコードに対するこのアクションでは、棄権の決定がユーザーに割り当てられます。つまり、各割当ては現状のままになります。担当者がわかっている場合は、かわりにユーザーを再割当てできます。

各ユーザーに対して検証アクションを実行した後、要求したユーザーに割り当てられた各ロールおよび権限について証明決定を行う必要があります。自分が失効、再割当てまたは棄権を決定したユーザーに対してはそれ以上の証明決定を行う必要はありません。通常、これは、「ロールと権限のレビュー」の説明に従って、各ユーザーを開き、そのユーザーのロールと権限をレビューすることを意味します。ただし、1つ以上のユーザーを別の人物に委任することもできます。これにより、その人物はそのユーザーに割り当てられたロールと権限について証明決定を行うことができます。「アクション」メニューから次のアクションを使用できます。

- 開く: このアクションを選択して、各ユーザーの詳細をレビューし、そのユーザーに割り当てられたロールおよび権限について証明決定を行います。「ロールと権限のレビュー」を参照してください。

- 委任: このアクションを選択して、別の人物が選択された各ユーザーのアクセス権限について決定を行うことができるようにします。このアクションでは、選択したユーザーが含まれた新規の委任レビュー・タスクが作成され、自分が委任として指定した人物にそのタスクが割り当てられます。自分のプライマリ・レビューアとしての責任はそのまま変わりません。

- 委任解除: このアクションは委任されたユーザーにのみ適用されます。このアクションでは、選択された各ユーザーが委任レビュー・タスクから削除され、決定権が自分(プライマリ・レビューア)に返されます。

「アクション」メニューには、ユーザーの詳細について証明決定を行った後に役立つ2つの便利な追加アクションがあります。これらのアクションは、複数の詳細についての決定(つまり選択した各ユーザーのアクセス)に影響します。

- 完了: ロール割当て、アカウントまたは権限割当てに欠けている決定を「証明」に設定します。

- リセット: ユーザーのアクセスについての決定など、ユーザーに対して行われたすべての決定を消去します。

10.3.2.1.2 ロールと権限のレビュー

証明の詳細ビューを使用して、ユーザーのロール割当て、アカウントおよび権限割当てをレビューします。詳細ビューにアクセスするには、サマリー・ビューでユーザーを選択して、「アクション」メニューの「開く」をクリックするかユーザー名をクリックします。

選択を行った後、「アクション」メニューを使用して適切なアクションを選択できます。「アクション」メニューには、次のオプションがあります。

- 証明: 選択した各割当てを承認します。

- 失効: 選択した各割当ての承認を取り消します。この決定は、そのユーザーに権限が必要なくなり、割当てを削除する必要があることを示します。このオプションを選択すると、コメントの入力を求めるダイアログ・ボックスが表示されることがあります。「コメント」ポップアップにメモを入力して、「OK」をクリックします。

- 条件付きで証明: 選択した各割当てを一時的に承認します。このアクションでは、終了日(承認が期限切れになる日)を指定する必要もあります。

- 棄権: 選択した各割当てについて自分が行うことはありません。この場合、割当てを現状のままにしておくという決定が記録されます。

- リセット: これを使用して、自分が選択した割当てについて行った決定をすべて消去します。

各アクションで、オプションのコメントを追加できます。デフォルトでは、「証明」以外のすべての決定(「失効」、「条件付きで証明」、「棄権」など)はオプションのコメントが可能です。

10.3.2.1.3 ユーザー証明の終了

証明サイクルの最終ステップはサインオフ・アクションです。サインオフは、すべてのアクセス権限に決定が割り当てられている場合にのみ実行できます。この状態に到達すると、Oracle Identity Managerは自動的に、行ったすべての決定をサインオフするよう求めるメッセージを表示します。その時点でサインオフすることを選択しなかった場合は、後でサインオフ・ダイアログ・ボックスを手動で起動できます(すべてのアクセス権限が引き続き完了状態であることが前提となります)。システムによって自動的に促されるか手動でアクティブにするかに関係なく、サインオフのプロセスは同じです。

手動でサインオフする手順は、次のとおりです。

1. 「アクション」メニューから「サインオフ」を選択します。証明の完了を求める「サインオフ」ダイアログ・ボックスが表示されます。

2. 証明を完了するには、「はい」を選択して、「パスワードが必要」フィールドにパスワードを入力します。パスワード・オプションは、構成可能で、証明定義で設定されます。無効にすると、パスワード・フィールドは「サインオフ」ダイアログ・ボックスに表示されません。
また、後で証明を完了する場合は「いいえ」を選択します。

3. 「OK」をクリックします。

サインオフに成功すると、証明を表示しているタブが自動的に閉じて、確認メッセージが表示されます。

10.3.2.2 ロール証明の完了

ロール証明では、ロール所有者がロールおよびロール・コンテンツを証明できます。ロール証明の完了には次の手順が含まれます。

1. ロールに対する証明決定の実施

2. ロールのコンテンツのレビュー

3. ロール証明の終了

10.3.2.2.1 ロールに対する証明決定の実施

証明タスクを開くときに、各ロールのアクセスの検証が必要になることがあります。この検証手順は、証明定義に設定されている構成設定に基づいてオプションとなります。検証が必要ない場合は、ロールの初期サマリー・ビューはスキップされ、ロールの詳細ビューが表示されます。

検証が必要な場合は、自分がロール所有者である各ロールについて決定を行う必要があります。手順は次のとおりです。

1. 受信ボックスで、新規または進行中の証明レビュー・タスクを開きます。証明タスクの1ページ目がロールのリストとともに表示されます。

2. 「アクション」メニューで、ロールごとに次のいずれかを選択します。

- 要求: ロールを自分の証明の検証キューに戻す場合に選択します。証明構成の値によっては、これが自動的に行われることがあります。証明構成オプションの詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のIdentity System Administrationでの証明オプションの構成に関する項を参照してください。ただし、各ロールが自動的に要求される場合でも、自由に別のアクションを選択できます。

- 失効: ロールが適切でなくなった場合にこれを選択します。このアクションでは、ロールが証明プロセスから削除されます。自分ではこのロールの割当ての承認や失効化を行いません。ロールを自分の検証キューに戻すには、ロール名を選択して、「アクション」メニューの「要求」を選択します。

- 再割当て: 現在の証明からロールを削除し、選択したロールで新しい証明を作成する場合にこれを選択します。このアクションでは、選択したロールが現在の証明から削除され、選択したロールで新しい証明が作成され、その新しい証明のプライマリ・レビューアとして自分が指定する人物が割り当てられます。

- 棄権: ロールが適切でなく、そのロールに割り当てられたアカウント、メンバーシップおよび権限の検証の担当者が不明な場合に、これを選択します。各アカウントおよび権限のロール・レコードに対するこのアクションでは、棄権の決定がロールに割り当てられます。つまり、各割当ては現状のままになります。担当者がわかっている場合は、かわりにロールを再割当てできます。

各ロールに対して検証アクションを実行した後、要求したロールに割り当てられた各ポリシーおよび権限について証明決定を行う必要があります。自分が失効、再割当てまたは棄権を決定したロールに対してはそれ以上の証明決定を行う必要はありません。通常、これは、「ロールのコンテンツのレビュー」の説明に従って、各ロールを開き、そのロールのポリシーと権限をレビューすることを意味します。ただし、1つまたは複数のロールを別の人物に委任することもできます。これにより、その人物はそのロールに割り当てられたポリシーと権限について証明決定を行うことができます。「アクション」メニューから次のアクションを使用できます。

- 開く: このアクションを選択して、各ロールの詳細をレビューし、そのロールに割り当てられたポリシーおよび権限について証明決定を行います。「ロールのコンテンツのレビュー」を参照してください。

- 委任: このアクションを選択して、別の人物が選択された各ロールのアクセス権限について決定を行うことができるようにします。このアクションでは、選択したロールが含まれた新規の委任レビュー・タスクが作成され、自分が委任として指定した人物にそのタスクが割り当てられます。自分のプライマリ・レビューアとしての責任はそのまま変わりません。

- 委任解除: このアクションは委任されたロールにのみ適用されます。このアクションでは、選択された各ロールが委任レビュー・タスクから削除され、決定権が自分(プライマリ・レビューア)に返されます。

「アクション」メニューには、ロールの詳細について証明決定を行った後に役立つ2つの便利な追加アクションがあります。これらのアクションは、複数の詳細についての決定(つまり選択した各ロールのアクセス)に影響します。

- 完了: アカウントまたは権限割当てに欠けている決定を「証明」に設定します。

- リセット: ロールのアクセスについての決定など、ロールに対して行われたすべての決定を消去します。

10.3.2.2.2 ロールのコンテンツのレビュー

証明の詳細ビューを使用して、ロールのポリシー、メンバーシップおよび権限をレビューします。詳細ビューにアクセスするには、サマリー・ビューでロールを選択して、「アクション」メニューの「開く」ボタンをクリックするかロール名をクリックします。

選択を行った後、「アクション」メニューを使用して適切なアクションを選択できます。「アクション」メニューには、次のオプションがあります。

- 証明: 選択した各割当てを承認します。

- 失効: 選択した各割当ての承認を取り消します。この決定は、そのロールに権限が必要なくなり、割当てを削除する必要があることを示します。このオプションを選択すると、コメントの入力を求めるダイアログ・ボックスが表示されることがあります。「コメント」ポップアップにメモを入力して、「OK」をクリックします。

- 条件付きで証明: 選択した各割当てを一時的に承認します。このアクションでは、終了日(承認が期限切れになる日)を指定する必要もあります。

- 棄権: 選択した各割当てについて自分が行うことはありません。この場合、割当てを現状のままにしておくという決定が記録されます。

- リセット: これを使用して、自分が選択した割当てについて行った決定をすべて消去します。

各アクションで、オプションのコメントを追加できます。デフォルトでは、「証明」以外のすべての決定(「失効」、「条件付きで証明」、「棄権」など)はオプションのコメントが可能です。

このロールが割り当てられているユーザーをレビューするには、「メンバー」タブをクリックします。必要に応じて、ロールのメンバーに対して「失効」、「条件付きで証明」、「証明」または「棄権」を実行します。このタブでは、2フェーズ・ユーザー証明で追加の「承認」オプションを使用できます。このオプションを選択すると、フェーズ1の決定がフェーズ2にコピーされます。2フェーズ・レビューの詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のユーザー証明での複数フェーズ・レビューの理解に関する項を参照してください。

10.3.2.2.3 ロール証明の終了

証明サイクルの最終ステップはサインオフ・アクションです。サインオフは、すべてのアクセス権限に決定が割り当てられている場合にのみ実行できます。この状態に到達すると、Oracle Identity Managerは自動的に、行ったすべての決定をサインオフするよう求めるメッセージを表示します。その時点でサインオフすることを選択しなかった場合は、後でサインオフ・ダイアログ・ボックスを手動で起動できます(すべてのアクセス権限が引き続き完了状態であることが前提となります)。システムによって自動的に促されるか手動でアクティブにするかに関係なく、サインオフのプロセスは同じです。

手動でサインオフする手順は、次のとおりです。

1. 「アクション」メニューから「サインオフ」を選択します。証明の完了を求める「サインオフ」ダイアログ・ボックスが表示されます。

2. 証明を完了するには、「はい」を選択して、「パスワードが必要」フィールドにパスワードを入力します。パスワード・オプションは、構成可能で、証明定義で設定されます。無効にすると、パスワード・フィールドは「サインオフ」ダイアログ・ボックスに表示されません。
また、後で証明を完了する場合は「いいえ」を選択します。

3. 「OK」をクリックします。

サインオフに成功すると、証明を表示しているタブが自動的に閉じて、確認メッセージが表示されます。

10.3.2.3 アプリケーション・インスタンス証明の完了

アプリケーション・インスタンス証明には、1つまたは複数のアプリケーション・インスタンスにおける従業員の権限の証明または失効化が含まれます。これらの権限は、従業員に直接割り当てられます。ロールの一部として割り当てられるものではありません。アプリケーション・インスタンス証明の完了には次の手順が含まれます。

1. アプリケーション・インスタンスに対する証明決定の実施

2. アカウントおよび権限割当てのレビュー

3. アプリケーション・インスタンス証明の終了

10.3.2.3.1 アプリケーション・インスタンスに対する証明決定の実施

証明タスクを開くときに、各アプリケーション・インスタンスのアクセスの検証が必要になることがあります。この検証手順は、証明定義に設定されている構成設定に基づいてオプションとなります。検証が必要ない場合は、アプリケーション・インスタンスの初期サマリー・ビューはスキップされ、アプリケーション・インスタンスの詳細ビューが表示されます。検証が必要な場合は、各アプリケーション・インスタンスについて決定を行う必要があります。手順は次のとおりです。

1. 受信ボックスで、新規または進行中の証明レビュー・タスクを開きます。

2. 「アクション」メニューで、アプリケーション・インスタンスごとに次のいずれかを選択します。

- 要求: アプリケーション・インスタンスを自分の証明の検証キューに戻す場合に選択します。証明構成の値によっては、これが自動的に行われることがあります。証明構成オプションの詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のIdentity System Administrationでの証明オプションの構成に関する項を参照してください。ただし、各アプリケーション・インスタンスが自動的に要求される場合でも、自由に別のアクションを選択できます。

- 失効: アプリケーション・インスタンスが適切でなくなった場合にこれを選択します。このアクションでは、アプリケーション・インスタンスが証明プロセスから削除されます。自分ではこのアプリケーション・インスタンスの割当ての承認や失効化を行いません。アプリケーション・インスタンスを自分の検証キューに戻すには、アプリケーション・インスタンス名を選択して、「アクション」メニューの「要求」を選択します。

- 再割当て: 現在の証明からアプリケーション・インスタンスを削除し、選択したアプリケーション・インスタンスで新しい証明を作成する場合にこれを選択します。このアクションでは、選択したアプリケーション・インスタンスが現在の証明から削除され、選択したアプリケーション・インスタンスで新しい証明が作成され、その新しい証明のプライマリ・レビューアとして自分が指定する人物が割り当てられます。

- 棄権: アプリケーション・インスタンスが適切でなく、そのアプリケーション・インスタンスに割り当てられたアカウントおよび権限の検証の担当者が不明な場合に、これを選択します。各アカウントおよび権限のアプリケーション・インスタンス・レコードに対するこのアクションでは、棄権の決定がアプリケーション・インスタンスに割り当てられます。つまり、各割当ては現状のままになります。担当者がわかっている場合は、かわりにアプリケーション・インスタンスを再割当てできます。

各アプリケーション・インスタンスに対して検証アクションを実行した後、要求したアプリケーション・インスタンスに割り当てられた各アカウントおよび権限について証明決定を行う必要があります。自分が失効、再割当てまたは棄権を決定したアプリケーション・インスタンスに対してはそれ以上の証明決定を行う必要はありません。通常、これは、「アカウントおよび権限割当てのレビュー」の説明に従って、各アプリケーション・インスタンスを開き、そのアプリケーション・インスタンスのアカウントと権限をレビューすることを意味します。ただし、1つまたは複数のアプリケーション・インスタンスを別の人物に委任することもできます。これにより、その人物はそのアプリケーション・インスタンスに割り当てられたアカウントと権限について証明決定を行うことができます。「アクション」メニューから次のアクションを使用できます。

- 開く: このアクションを選択して、各アプリケーション・インスタンスの詳細をレビューし、そのアプリケーション・インスタンスに割り当てられたアカウントおよび権限について証明決定を行います。「アカウントおよび権限割当てのレビュー」を参照してください。

- 委任: このアクションを選択して、別の人物が選択された各アプリケーション・インスタンスのアクセス権限について決定を行うことができるようにします。このアクションでは、選択したアプリケーション・インスタンスが含まれた新規の委任レビュー・タスクが作成され、自分が委任として指定した人物にそのタスクが割り当てられます。自分のプライマリ・レビューアとしての責任はそのまま変わりません。

- 委任解除: このアクションは委任されたアプリケーション・インスタンスにのみ適用されます。このアクションでは、選択された各アプリケーション・インスタンスが委任レビュー・タスクから削除され、決定権が自分(プライマリ・レビューア)に返されます。

「アクション」メニューには、アプリケーション・インスタンスの詳細について証明決定を行った後に役立つ2つの便利な追加アクションがあります。これらのアクションは、複数の詳細についての決定(つまり選択した各アプリケーション・インスタンスのアクセス)に影響します。

- 完了: アカウントまたは権限割当てに欠けている決定を「証明」に設定します。

- リセット: アプリケーション・インスタンスのアクセスについての決定など、ロールに対して行われたすべての決定を消去します。

10.3.2.3.2 アカウントおよび権限割当てのレビュー

証明の詳細ビューを使用して、アプリケーション・インスタンスのアカウントおよび権限をレビューします。詳細ビューにアクセスするには、サマリー・ビューでアプリケーション・インスタンスを選択して、「アクション」メニューの「開く」ボタンをクリックするかアプリケーション・インスタンス名をクリックします。

選択を行った後、「アクション」メニューを使用して適切なアクションを選択できます。「アクション」メニューには、次のオプションがあります。

- 証明: 選択した各割当てを承認します。

- 失効: 選択した各割当ての承認を取り消します。この決定は、そのアプリケーション・インスタンスに権限が必要なくなり、割当てを削除する必要があることを示します。このオプションを選択すると、コメントの入力を求めるダイアログ・ボックスが表示されることがあります。「コメント」ポップアップにメモを入力して、「OK」をクリックします。

- 条件付きで証明: 選択した各割当てを一時的に承認します。このアクションでは、終了日(承認が期限切れになる日)を指定する必要もあります。

- 棄権: 選択した各割当てについて自分が行うことはありません。この場合、割当てを現状のままにしておくという決定が記録されます。

- リセット: これを使用して、自分が選択した割当てについて行った決定をすべて消去します。

各アクションで、オプションのコメントを追加できます。デフォルトでは、「証明」以外のすべての決定(「失効」、「条件付きで証明」、「棄権」など)はオプションのコメントが可能です。

2フェーズ・ユーザー証明で追加の「承認」オプションを使用できます。このオプションを選択すると、フェーズ1の決定がフェーズ2にコピーされます。2フェーズ・レビューの詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のユーザー証明での複数フェーズ・レビューの理解に関する項を参照してください。

10.3.2.3.3 アプリケーション・インスタンス証明の終了

証明サイクルの最終ステップはサインオフ・アクションです。サインオフは、すべてのアクセス権限に決定が割り当てられている場合にのみ実行できます。この状態に到達すると、Oracle Identity Managerは自動的に、行ったすべての決定をサインオフするよう求めるメッセージを表示します。その時点でサインオフすることを選択しなかった場合は、後でサインオフ・ダイアログ・ボックスを手動で起動できます(すべてのアクセス権限が引き続き完了状態であることが前提となります)。システムによって自動的に促されるか手動でアクティブにするかに関係なく、サインオフのプロセスは同じです。

手動でサインオフする手順は、次のとおりです。

1. 「アクション」メニューから「サインオフ」を選択します。証明の完了を求める「サインオフ」ダイアログ・ボックスが表示されます。

2. 証明を完了するには、「はい」を選択して、「パスワードが必要」フィールドにパスワードを入力します。パスワード・オプションは、構成可能で、証明定義で設定されます。無効にすると、パスワード・フィールドは「サインオフ」ダイアログ・ボックスに表示されません。
また、後で証明を完了する場合は「いいえ」を選択します。

3. 「OK」をクリックします。

サインオフに成功すると、証明を表示しているタブが自動的に閉じて、確認メッセージが表示されます。

10.3.2.4 権限証明の完了

権限証明では、従業員が権限にアクセスできる必要があるかどうかを証明できます。権限証明の完了には次の手順が含まれます。

1. 権限に対する証明決定の実施

2. 権限割当てのレビュー

3. 権限証明の終了

10.3.2.4.1 権限に対する証明決定の実施

証明タスクを開くときに、各権限のアクセスの検証が必要になることがあります。この検証手順は、証明定義に設定されている構成設定に基づいてオプションとなります。検証が必要ない場合は、権限の初期サマリー・ビューはスキップされ、権限の詳細ビューが表示されます。検証が必要な場合は、各権限について決定を行う必要があります。手順は次のとおりです。

1. 受信ボックスで、新規または進行中の証明レビュー・タスクを開きます。

2. 「アクション」メニューで、権限ごとに次のいずれかを選択します。

- 要求: 権限を自分の証明の検証キューに戻す場合に選択します。証明構成の値によっては、これが自動的に行われることがあります。証明構成オプションの詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のIdentity System Administrationでの証明オプションの構成に関する項を参照してください。ただし、各権限が自動的に要求される場合でも、自由に別のアクションを選択できます。

- 失効: 権限が適切でなくなった場合にこれを選択します。このアクションでは、権限が証明プロセスから削除されます。自分ではこの権限の割当ての承認や失効化を行いません。権限を自分の検証キューに戻すには、権限名を選択して、「アクション」メニューの「要求」を選択します。

- 再割当て: 現在の証明から権限を削除し、選択した権限で新しい証明を作成する場合にこれを選択します。このアクションでは、選択した権限が現在の証明から削除され、選択した権限で新しい証明が作成され、その新しい証明のプライマリ・レビューアとして自分が指定する人物が割り当てられます。

- 棄権: 権限が適切でなく、その権限に割り当てられたアカウントの検証の担当者が不明な場合に、これを選択します。各アカウントの権限レコードに対するこのアクションでは、棄権の決定が権限に割り当てられます。つまり、各割当ては現状のままになります。担当者がわかっている場合は、かわりに権限を再割当てできます。

各権限に対して検証アクションを実行した後、要求した権限に割り当てられた各ユーザー・アカウントについて証明決定を行う必要があります。自分が失効、再割当てまたは棄権を決定した権限に対してはそれ以上の証明決定を行う必要はありません。通常、これは、「権限割当てのレビュー」の説明に従って、各権限を開き、その権限のユーザー・アカウントをレビューすることを意味します。ただし、1つまたは複数の権限を別の人物に委任することもできます。これにより、その人物はその権限に割り当てられたユーザー・アカウントについて証明決定を行うことができます。「アクション」メニューから次のアクションを使用できます。

- 開く: このアクションを選択して、各権限の詳細をレビューし、その権限に割り当てられたユーザー・アカウントについて証明決定を行います。「権限割当てのレビュー」を参照してください。

- 委任: このアクションを選択して、別の人物が選択された各権限のアクセス権限について決定を行うことができるようにします。このアクションでは、選択した権限が含まれた新規の委任レビュー・タスクが作成され、自分が委任として指定した人物にそのタスクが割り当てられます。自分のプライマリ・レビューアとしての責任はそのまま変わりません。

- 委任解除: このアクションは委任された権限にのみ適用されます。このアクションでは、選択された各権限が委任レビュー・タスクから削除され、決定権が自分(プライマリ・レビューア)に返されます。

「アクション」メニューには、権限の詳細について証明決定を行った後に役立つ2つの便利な追加アクションがあります。これらのアクションは、複数の詳細についての決定(つまり選択した各権限のアクセス)に影響します。

- 完了: アカウント割当てに欠けている決定を「証明」に設定します。

- リセット: 権限のアクセスについての決定など、権限に対して行われたすべての決定を消去します。

10.3.2.4.2 権限割当てのレビュー

証明の詳細ビューを使用して、権限のユーザー・アカウントをレビューします。詳細ビューにアクセスするには、サマリー・ビューで権限を選択して、「アクション」メニューの「開く」をクリックするか権限名をクリックします。

選択を行った後、「アクション」メニューを使用して適切なアクションを選択できます。「アクション」メニューには、次のオプションがあります。

- 証明: 選択した各割当てを承認します。

- 失効: 選択した各割当ての承認を取り消します。この決定は、その権限に権限が必要なくなり、割当てを削除する必要があることを示します。このオプションを選択すると、コメントの入力を求めるダイアログ・ボックスが表示されることがあります。「コメント」ポップアップにメモを入力して、「OK」をクリックします。

- 条件付きで証明: 選択した各割当てを一時的に承認します。このアクションでは、終了日(承認が期限切れになる日)を指定する必要もあります。

- 棄権: 選択した各割当てについて自分が行うことはありません。この場合、割当てを現状のままにしておくという決定が記録されます。

- リセット: これを使用して、自分が選択した割当てについて行った決定をすべて消去します。

各アクションで、オプションのコメントを追加できます。デフォルトでは、「証明」以外のすべての決定(「失効」、「条件付きで証明」、「棄権」など)はオプションのコメントが可能です。

2フェーズ・ユーザー証明で追加の「承認」オプションを使用できます。このオプションを選択すると、フェーズ1の決定がフェーズ2にコピーされます。2フェーズ・レビューの詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のユーザー証明での複数フェーズ・レビューの理解に関する項を参照してください。

10.3.2.4.3 権限証明の終了

証明サイクルの最終ステップはサインオフ・アクションです。サインオフは、すべてのアクセス権限に決定が割り当てられている場合にのみ実行できます。この状態に到達すると、Oracle Identity Managerは自動的に、行ったすべての決定をサインオフするよう求めるメッセージを表示します。その時点でサインオフすることを選択しなかった場合は、後でサインオフ・ダイアログ・ボックスを手動で起動できます(すべてのアクセス権限が引き続き完了状態であることが前提となります)。システムによって自動的に促されるか手動でアクティブにするかに関係なく、サインオフのプロセスは同じです。

手動でサインオフする手順は、次のとおりです。

1. 「アクション」メニューから「サインオフ」を選択します。証明の完了を求める「サインオフ」ダイアログ・ボックスが表示されます。

2. 証明を完了するには、「はい」を選択して、「パスワードが必要」フィールドにパスワードを入力します。パスワード・オプションは、構成可能で、証明定義で設定されます。無効にすると、パスワード・フィールドは「サインオフ」ダイアログ・ボックスに表示されません。
また、後で証明を完了する場合は「いいえ」を選択します。

3. 「OK」をクリックします。

サインオフに成功すると、証明を表示しているタブが自動的に閉じて、確認メッセージが表示されます。

10.4 プロビジョニング・タスクの管理

「アイデンティティ・セルフ・サービス」の「オープン・タスク」セクションには、自分に割り当てられているすべてのプロビジョニング・タスク、または受信ボックス内にある保留中のアクションが表示されます。さらに、修正措置を実行するために確認する必要がある失敗した自動プロビジョニング・タスクが、受信ボックスに表示されます。これらのタスクに対して再試行や手動による完了などの修正措置を実行する必要があります。

プロビジョニング・タスク機能は管理者およびユーザーが使用します。たとえば、従業員にラップトップ・コンピュータを配送するIT管理の担当者は、Oracle Identity Manager管理者ではありませんが、プロビジョニング・タスクを表示および変更する必要があります。

アカウントの作成や更新、権限の付与や取消しなどのプロビジョニング操作は、次のいずれかの原因で失敗する可能性があります。

- プロビジョニング・タスクに関連付けられているプロセス・フォームの必要な情報がない。

- アカウントに指定されたパスワードが、ターゲット・アプリケーションに設定されているパスワード・ポリシーに準拠していない。

- ターゲット・システムが使用できない。

プロビジョニング操作が失敗した場合、アクションを実行する管理者またはリソース所有者に失敗したタスクを割り当てるプロビジョニング・ワークフローを構成できます。これらのタスクは、「管理」リージョンの下の「オープン・タスク」ページに表示されます。「オープン・タスク」をクリックすると、是正のために自分に割り当てられているすべてのタスクが表示されます。このページでは、却下されたタスクの詳細の表示および再試行などのアクションを実行できます。タスクが無効になった場合は、手動で完了できます。

「プロビジョニング」タブでは、次のタスクを実行できます。

- プロビジョニング・タスクの検索

- プロビジョニング・タスクの詳細の表示

- タスクへのメモの追加

- タスクの再割当て

- タスク割当て履歴の表示

- フォームの詳細の表示

- フォームの詳細の変更

- タスクの再試行

- 手動によるタスクの完了

10.4.1 プロビジョニング・タスクの検索

「プロビジョニング」タブ・ページの最初のセクションでは、自分に割り当てられている、およびアクションが保留中のプロビジョニング・タスクを検索できます。プロビジョニング・タスクを検索するには、次のフィールドに値を指定します。

- 一致: 「すべて」および「任意」オプションは読取り専用です。

- タスク名: 検索するタスク名を指定します。これを行うには、「次で始まる」、「次で終わる」、「次と等しい」、「次と等しくない」、「次を含む」、「次を含まない」検索操作のいずれかを選択します。

- タスク・ステータス: アクションが保留中のタスクまたは却下されたタスクを検索するには、「保留」または「却下」をそれぞれ選択します。

検索基準を指定して「検索」をクリックすると、検索結果表が表示されます。表10-2に、検索結果表のフィールドを示します。

表10-2 プロビジョニング・タスク検索結果表のフィールド

フィールド

説明

タスク名

タスクの名前。

タスク・ステータス

タスクのステータス(「保留」または「却下」)。

アプリケーション・インスタンス

このタスクによって影響を受けるアプリケーション・インスタンスの名前。

受益者

このタスクのために影響を受けるプロビジョニングされたアプリケーション・インスタンスのユーザー。

割当て日

プロビジョニング・タスクが割当て先に割り当てられた日付と時刻。

割当て先

タスクが割り当てられたユーザー。

リクエストID

プロビジョニング・リクエスト・タスクのID。

アカウント名

プロビジョニングするアカウントの名前。

10.4.2 プロビジョニング・タスクの詳細の表示

プロビジョニング・タスクの詳細を表示する手順は、次のとおりです。

1. 「管理」の下の「オープン・タスク」セクションを開きます。

2. 「プロビジョニング・タスク」ページで、詳細を表示するタスクを検索して選択します。

3. 「アクション」メニューから「開く」を選択します。または、ツールバーにある「開く」をクリックします。「タスクの詳細」ページが新しいウィンドウに表示されます。

表10-3に、「タスクの詳細」ウィンドウのフィールドを示します。

表10-3 「タスクの詳細」ウィンドウのフィールド

フィールド

説明

タスク名

タスクの名前。

リソース名

タスクによって影響を受けるリソースの名前。

説明

タスクの説明。

ユーザー

受益者のユーザー名。

ステータス

タスクのステータス(「保留」または「却下」)。

レスポンス

「レスポンスの設定」ページでユーザーが設定したレスポンス。

注: レスポンス設定の詳細は、「タスクに対するレスポンスの設定」を参照してください。

レスポンスの説明

Oracle Identity Manager Design Consoleのタスク定義セクションの「レスポンス」タブで定義したレスポンスの説明。

注意

承認者が入力した追加コメント。

割当て先

このタスクが割り当てられたユーザーまたはロール。

注: タスクがロールに割り当てられた場合、このプロパティは「ロールに割当て済」となり、ロールの詳細が表示されます。

エラーの詳細

レスポンス設定時のエラー(ある場合)。

開始予定

タスクの開始が予定されている日付。

終了予定

タスクの終了が予定されている日付。

実際の開始

タスクが開始された日付。

実際の終了

タスクが終了した日付。

最終更新日

タスクが最後に更新された日付。

10.4.3 タスクに対するレスポンスの設定

承認者は、タスクを処理する際にタスクに対するレスポンスを設定できます。タスクに対するレスポンスを設定する手順は、次のとおりです。

注意:

対応するタスクにレスポンス・コードが定義されていない場合は、レスポンスを設定できません。レスポンス・コードは、Oracle Identity Manager Design Consoleを使用して定義します。レスポンス・コードの定義の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』を参照してください。

1. 「管理」の下の「オープン・タスク」セクションを開きます。

2. 「プロビジョニング・タスク」ページで、レスポンスを設定するタスクを検索して選択します。

3. 「アクション」メニューから「開く」を選択します。または、ツールバーにある「開く」をクリックします。「タスクの詳細」ウィンドウが表示されます。

4. 「タスクの詳細」ウィンドウで、「レスポンスの設定」をクリックします。

5. 「タスクのレスポンスの指定」ページで、定義されている複数のレスポンスのいずれかを選択し、「OK」をクリックします。レスポンスが設定されます。

10.4.4 タスクへのメモの追加

メモは、承認者が入力する追加コメントです。これらのコメントはオプションです。

タスクにメモを追加する手順は、次のとおりです。

1. 「管理」の下の「オープン・タスク」セクションを開きます。

2. 「プロビジョニング・タスク」ページで、メモを追加するタスクを検索して選択します。

3. 「アクション」メニューから「開く」を選択します。または、ツールバーにある「開く」をクリックします。「タスクの詳細」ウィンドウが表示されます。

4. 「タスクの詳細」ウィンドウで、「注意の追加」をクリックします。図10-4に示すように、「タスクへの注意の追加」ウィンドウが表示されます。

図10-4 「タスクへの注意の追加」ウィンドウ

「図10-4 「タスクへの注意の追加」ウィンドウ」の説明

5. 「追加の注意の入力」フィールドに、タスクに追加するメモを入力します。

6. 「注意の追加」をクリックします。

10.4.5 タスクの再割当て

承認者は、タスクに対して適切なアクションを実行する別のユーザーまたはロールにタスクを再割当てできます。タスクを別のユーザーに再割当てすると、割当て先が承認者になります。タスクをロールに再割当てすると、そのロールのメンバーの1人がタスクを承認または却下できます。

タスクを別のユーザーまたはロールに再割当てする手順は、次のとおりです。

1. 「管理」の下の「オープン・タスク」セクションを開きます。

2. 「プロビジョニング・タスク」ページで、再割当てするタスクを検索して選択します。

3. 「アクション」メニューから「開く」を選択します。または、ツールバーにある「開く」をクリックします。「タスクの詳細」ウィンドウが表示されます。

4. 「タスクの詳細」ウィンドウで、「再割当て」をクリックします。図10-5に示すように、「タスクの割当先ユーザーの選択」ウィンドウが表示されます。

図10-5 「タスクの割当先ユーザーの選択」ウィンドウ

「図10-5 「タスクの割当先ユーザーの選択」ウィンドウ」の説明

5. 検索する内容に従って、「ユーザー」または「ロール」を選択します。選択に応じて、ユーザーまたはロールのリストが表示されます。フィルタ処理の基準を指定するか、「フィルタ条件」フィールドに値を入力して、検索をフィルタ処理することもできます。

6. 「再割当て」列で、タスクを割り当てるユーザーまたはロールを選択します。

7. 「再割当て」をクリックします。

8. 「再割当てするタスクの確認」ページで、実行するアクションの詳細を確認し、「再割当てタスクの確認」を選択してタスクを再割当てするか、「再割当てタスクの取消し」を選択してタスクの再割当てを取り消します。

9. 前述の再割当てアクションに従って、「割当て先」セクションの値が適切に更新されているかどうかを確認します。

10.4.6 タスク割当て履歴の表示

タスクの割当て履歴を表示する手順は、次のとおりです。

1. 「管理」の下の「オープン・タスク」セクションを開きます。

2. 「プロビジョニング・タスク」ページで、タスク割当て履歴を表示するタスクを検索して選択します。

3. 「アクション」メニューから「開く」を選択します。または、ツールバーにある「開く」をクリックします。「タスクの詳細」ウィンドウが表示されます。

4. 「タスクの詳細」ウィンドウで、「タスク割当て履歴」をクリックします。図10-6に示すように、「タスクの履歴」ウィンドウが表示されます。

図10-6 「タスクの履歴」ウィンドウ

「図10-6 「タスクの履歴」ウィンドウ」の説明

表10-4に示すように、各フィールドにはタスク割当て履歴が表示されます。

表10-4 「タスクの履歴」ウィンドウのフィールド

フィールド

説明

タスク・ステータス

タスクのステータス(「保留」または「却下」)。

タスク・アクション

タスクのソース詳細で、たとえば、最初に作成されたタスクは「エンジン」になります。ユーザーがこのタスクを再割当てすると、「ユーザー」になります。

割当てタイプ

タスクの割当て先のタイプで、たとえば、初めて割り当てられたタスクは、「デフォルトのタスク割当て」になります。タスクが再割当てされると、その値はユーザーまたはロールになります。

ユーザーに割当て済

タスクが割り当てられたユーザー。

ロールに割当て済

タスクが割り当てられたロール。

割当て元

タスクを割り当てたユーザー。

割当て日

タスクが割り当てられた日付。

10.4.7 フォームの詳細の表示

タスクに付加されているプロセス・フォームを表示できます。これらは、基礎となるプロセス定義に関連付けられているプロセス・フォームです。タスクは、プロセス定義に埋め込まれています。

タスクに付加されているプロセス・フォームを表示する手順は、次のとおりです。

1. 「管理」の下の「オープン・タスク」セクションを開きます。

2. 「プロビジョニング・タスク」ページで、プロセス・フォームを表示するタスクを検索して選択します。

3. 「アクション」メニューから「フォームの表示」を選択します。または、ツールバーにある「フォームの表示」をクリックします。「フォームの表示」ウィンドウが表示されます。

10.4.8 フォームの詳細の変更

プロビジョニング・ワークフローに関連付けられているプロセス・フォームを編集して、不足情報がある場合は入力できます。

プロセス・フォームの詳細を変更する手順は、次のとおりです。

1. 「管理」の下の「オープン・タスク」セクションを開きます。

2. 「プロビジョニング・タスク」ページで、プロセス・フォームを変更するタスクを検索して選択します。

3. 「アクション」メニューから「フォームの編集」を選択します。または、ツールバーにある「フォームの編集」をクリックします。

4. 「フォームの編集」ウィンドウで、必要な詳細を変更し、「保存」をクリックします。

10.4.9 タスクの再試行

承認者は、最初の試行でレスポンスを設定した際にエラーが生成された場合、タスクを再試行できます。タスクを再試行する手順は、次のとおりです。

注意:

再試行できるのは自動タスクのみで、アダプタをタスクに添付する必要があります。手動タスクは再試行できません。

1. 「管理」の下の「オープン・タスク」セクションを開きます。

2. 「プロビジョニング・タスク」ページで、再試行するタスクを検索して選択します。

3. 「アクション」メニューから「再試行」を選択します。または、ツールバーにある「再試行」をクリックします。

4. タスクの再試行の確認を要求する警告メッセージが表示されます。

5. 「再試行」をクリックします。

10.4.10 手動によるタスクの完了

プロビジョニング操作には、次の2種類があります。

- 自動化: これらは、特定のターゲット・アプリケーションに対してOracle Identity Managerコネクタを使用して自動的に実行されるプロビジョニング操作です。

- 手動: これらは、ユーザーの介入によって手動で実行されるプロビジョニング操作です。

手動完了タスクは、手動プロビジョニング操作中に作成されます。また、プロビジョニング操作の前または後に管理者に一部のアクションを実行するよう要求する手動ステップを組み込む場合には、手動完了タスクは、自動化プロビジョニング操作中に作成されます。

手動完了タスクを完了する手順は、次のとおりです。

1. Identity Self Serviceにログインします。

2. 左ペインで、「受信ボックス」をクリックします。「ワークリスト・ビュー」ページが表示されます。

3. 「ユーザー作業キュー」メニューで、「手動プロビジョニング」をクリックして手動完了タスクを表示します。詳細を表示するタスクを選択します。「詳細」、「目次」、「カート詳細」、「履歴」、「コメント」、および「添付ファイル」などのセクションで、新しいウィンドウに手動タスクの詳細が表示されます。

4. 「詳細」セクションで、必要に応じて値を変更し、「履行」をクリックします。アカウント・データが正常に更新されたこと確認するメッセージが表示されます。

5. 必要な場合は、「コメント」および「添付ファイル」セクションで、それぞれコメントと添付ファイルを追加します。詳細は、「コメントと添付ファイルの追加」を参照してください。

6. 「完了」をクリックします。

10.5 アテステーション・タスクの管理

注意:

アテステーション機能は、Oracle Identity Manager 11gリリース2 (11.1.2.1.0)では非推奨になっています。ただし、Oracle Identity Managerリリース9.x、11gリリース1 (11.1.1)または11gリリース2 (11.1.2)からアップグレードした場合は、この機能が使用可能です。

アテステーションを使用すると、レビューアとして指定されたユーザーは、レビューする必要のあるレポートについて通知を受けることができます。これらのレポートには、他のユーザーのプロビジョニング済リソースについて記述されています。レビューアは、レスポンスを入力することにより、権限の正確さをアテストすることができます。アテステーション・アクションは、レビューアが入力したレスポンス、関連コメント、およびレビューアが参照してアテストするデータの監査ビューとともにトラッキングと監査を受け、アカウンタビリティの完全な証跡を残します。Oracle Identity Managerでは、このプロセスはアテステーション・タスクと呼ばれます。

アテステーション・プロセスは、アテステーション・タスクを設定するメカニズムです。アテステーション・プロセスに必要な入力内容には、アテステーション・タスクを構成するコンポーネントの定義方法、およびタスクを実行する必要のあるスケジュールとアテステーション・タスクを関連付ける方法に関する情報が含まれます。この定義も、アテステーション・タスクを必要なときに開始するための基盤です。

「アイデンティティ・セルフ・サービス」の「保留アテステーション」セクションには、自分に割り当てられている、または受信ボックス内のアクションが保留中のアテステーション・プロセスすべてが表示されます。

注意:

Oracle Identity Analytics (OIA)と統合されたOracle Identity Managerを使用する場合は、アテステーション機能が置換されます。

「保留アテステーション」セクションでは、次のタスクを実行できます。

- アテステーション・タスクの検索

- アテステーション・リクエスト詳細の表示

10.5.1 アテステーション・タスクの検索

アテステーション・タスクを検索する手順は、次のとおりです。

1. Identity Self Serviceにログインします。

2. 左ペインの「リクエスト」の「保留アテステーション」をクリックします。「保留アテステーション」ページが表示されます。

3. 次のオプションのいずれかを選択します。

- すべて: 指定した基準に一致するすべてのタスクを検索します。

- 任意: 基準のいずれかに一致するタスクを検索します。

4. 「タスク名」フィールドに、検索するタスクの名前を入力します。これを行うには、「次で始まる」、「次で終わる」、「次と等しい」または「次を含む」検索演算子を選択します。

5. 「開始日」フィールドで、このフィールドの横にある「開始日」アイコンを使用してタスクの開始日を指定します。これを行うには、「次と等しい」、「次より前」または「次より後」検索演算子を選択します。

6. 「検索」をクリックします。検索基準に一致するアテステーション・タスクが検索結果表に表示されます。表10-5に、検索結果表のフィールドを示します。

表10-5 アテステーション・タスク検索結果表のフィールド

フィールド

説明

タスク名

タスクの名前。

プロセス・コード

ユーザーが入力したタスクの一意の識別子。

開始日

アテステーション・タスクの開始日。

タイプ

タスクのタイプ。これは、「アクセス権」としてハードコードされます。

レコード数

検索結果として表示されるレコード数。

10.5.2 アテステーション・リクエスト詳細の表示

アテステーション・リクエスト詳細を表示する手順は、次のとおりです。

1. 「アイデンティティ・セルフ・サービス」の「リクエスト」の「保留アテステーション」をクリックします。「保留アテステーション」ページが表示されます。

2. 表示するタスクを検索して選択します。

3. 「アクション」メニューの「オープン・タスクの詳細」を選択します。または、ツールバーにある「オープン・タスクの詳細」をクリックします。図10-7に示すように、「アテステーション・リクエストの詳細」ウィンドウが表示されます。

注意:

レビューアとして指定された複数のユーザーが、アテステーション・リクエストの詳細を表示できます。ただし、アテステーションを送信できるのは、最初に送信したユーザーのみです。

図10-7 「アテステーション・リクエストの詳細」ウィンドウ

「図10-7 「アテステーション・リクエストの詳細」ウィンドウ」の説明

表10-6に、「アテステーション・リクエストの詳細」ウィンドウのフィールドを示します。

表10-6 「アテステーション・リクエストの詳細」ウィンドウのフィールド

フィールド

説明

プロセス

作成されたアテステーション・プロセスの名前。

リクエスト時間

リクエストが作成された時間。

すでにアクションが指定されている場合はレコードを非表示にします

アクションが指定されているレコードをアテステーション・リクエストのリストで非表示にする必要があるかどうか。

ユーザー

権限がアテスト対象となっているユーザー。データはリンクとして表示されます。このリンクをクリックすると、「ユーザー・プロファイル」ページが表示され、アテステーション日のユーザーの詳細が表示されます。

リソース

アテストされる権限の基盤であるリソース。データはリンクとして表示されます。リンクをクリックすると、ページが表示され、アテステーション日の権限のプロセス・フォーム・データが表示されます。

記述データ

プロビジョニング・リソース・インスタンスの説明。

最終アテスト日

アテステーションに対して入力された最後のレスポンス。

コメント

レビューア・コメント。「既存のコメントおよび委任情報を更新」をクリックすると、このフィールドのコメントが更新されます。長いコメントは切り捨てられ、ツールチップを使用してコメントの全文が表示されます。

アクション

リクエストに対して実行するアクション。次のいずれかの値を使用できます。

- 認証

- 却下

- 拒否

- 委任

アテステーションの送信

アテステーション・リクエストを送信する場合は、このボタンをクリックします。

保存

アテステーション・リクエストを今後送信するために保存する場合は、このボタンをクリックします。

第III部

アイデンティティ管理

この部では、アイデンティティ管理機能を使用したOracle Identity Manager委任管理機能について説明します。

次の章で構成されます。

- 第11章「ユーザーの管理」

- 第12章「ロールの管理」

- 第13章「組織の管理」

- 第14章「アテステーション・ダッシュボードの使用」

11 ユーザーの管理

Oracle Identity Managerのユーザー管理機能には、ユーザー・アカウントの作成、更新、削除、有効化と無効化、ロックおよびロック解除が含まれます。この機能については、次の各項で説明します。

- ユーザー・ライフサイクル

- ユーザー・エンティティ定義

- デフォルトのユーザー・アカウント

- ユーザー管理タスク

- ユーザー名の予約

- 共通名の生成

11.1 ユーザー・ライフサイクル

ユーザー・ライフサイクルとは、特定のイベントや時間的要因に基づいて、システム内でユーザー・エンティティを作成、管理および終了するプロセス・フローを表す語です。

ユーザー・エンティティは、ライフ・サイクル内の様々なステージを通過します。ステージは、「存在しない」、「無効」、「アクティブ」および「削除」です。図11-1に、ライフサイクルの各種ステージ、可能なすべての遷移、およびそれらの遷移を設定する操作を示します。

図11-1 ユーザー・ライフサイクル

「図11-1 ユーザー・ライフサイクル」の説明

ユーザー・ライフサイクルの各遷移に対して、プロセス・ルールやビジネス要件が定義される場合があります。表11-1に示すサンプル・シナリオを使用して、ユーザー・ライフサイクルの遷移とビジネス目的との間の関係を説明します。

表11-1 ユーザー・ライフサイクルとビジネス目的のサンプル・シナリオ

現行の状態

操作

サンプル・シナリオ

プロセスの説明

存在しない

作成

HRは、新規採用者のユーザー・プロファイル情報を入力します。新規採用者をシステムに即時に組み込まない場合、HRはそのユーザーに将来の開始日を設定します。

開始日が将来の日付でない場合、ユーザーは「アクティブ」状態でシステムに組み込まれます。開始日が将来の日付の場合、作成プロセスではそのユーザーを「無効」状態で作成します。

無効

有効化

ユーザーの開始日が有効になります。システムでは、新規採用者に対するプロビジョニングが開始されます。

ユーザーはシステム内で有効とマークされ、システムにログインしてシステムを使用できるようになります。デフォルトでは、必要なすべてのメンバーシップおよびアカウントがワークフロー内で確立されます。

アクティブ

変更

ユーザーが新しい職階に昇格します。この結果、HRはそのユーザーの役職を変更します。

新しいリソースがユーザーにプロビジョニングされ、古い不適切なリソースはユーザーからプロビジョニング解除されます。

アクティブ

無効化

ユーザーが会社から1年間の長期有給休暇を取ります。HRは、ユーザーの最後の勤務日にそのユーザーを手動で無効にします。一定期間の後に、ユーザーは会社に復職します。HRは、ユーザーを再度「アクティブ」にできます。

ユーザーはシステムで無効とマークされ、システムにログインできなくなります。無効化されたユーザーは、再度「アクティブ」にできます。

アクティブ

削除

ユーザーが会社を退職します。HRは、ユーザーの最後の勤務日にそのユーザーを手動で削除します。

ユーザーはシステムで削除済とマークされ、システムにログインできなくなります。デフォルトでは、ユーザーのすべてのアカウントがワークフロー内でプロビジョニング解除されます。

ユーザー・ライフサイクル管理には、次の概念が不可欠です。

- OIMアカウント

- 組織

- ロール

11.1.1 OIMアカウント

OIMアカウントは、Oracle Identity Managerへのアクセスを認証する方法として使用する抽象的なアカウントです。Oracle Identity Managerでは、ユーザーとOIMアカウント間の関係を示すカーディナリティは1対1です。デフォルトでは、ユーザーは、Oracle Identity Managerへのアクセスを許可するOIMアカウントに関連付けられます。ただし、ユーザーがOracle Identity Managerにアクセスする必要がない場合は、OIMアカウントをプロビジョニングしないことも可能です。

ロックやロック解除などのユーザー操作は、明示的なアカウント操作です。ユーザーに対してロックまたはロック解除を行う場合は、そのユーザーのOIMアカウントをロックまたはロック解除します。

11.1.2 組織

組織とは、認可および権限データの論理的なコンテナです。Oracle Identity Managerのユーザーは、1つの組織のみに所属する必要があります。Oracle Identity Managerにおける組織の詳細は、第13章「組織の管理」を参照してください。

11.1.3 ロール

Oracle Identity Managerでは、ロールを使用して権限管理を容易に制御できます。ユーザーや他のロールに付与する、関連する権限の名前付きグループ。ロールは、エンド・ユーザー・システムとスキーマ・オブジェクト権限の管理を容易にするために設計されています。ロールの詳細は、第12章「ロールの管理」を参照してください。

11.2 ユーザー・エンティティ定義

Oracle Identity Managerでは、ユーザー・エンティティに対して属性が定義されます。これらの属性は、すべてのエンティティで同一です。ユーザー・エンティティには独自の属性を追加できます。

Oracle Identity Managerでは、エンティティの各属性に対して、次のプロパティが定義されます。

- 属性名: 属性の名前。

- タイプ: 属性内のデータのタイプを示します。サポートされているタイプは、文字列、数値、日付、ブールおよび参照です。

- プロパティ: 各属性に対して、「バルクで使用」(バルク操作でその属性が使用可能かどうかを指定)、「暗号化」(その属性を暗号化する必要があるかどうかを決定)、「検索可能」(ユーザーがその属性を検索できるかどうかを決定)などのプロパティを定義できます。

関連項目:

カスタム属性およびそのプロパティの追加の詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のカスタム属性の構成に関する項を参照してください。

表11-2に、Oracle Identity Managerでユーザー・エンティティに対して定義されている属性を示します。

表11-2 ユーザー・エンティティに対して定義されている属性

属性名

カテゴリ

説明

データ型

プロパティ

参照コードおよびそのエンティティ

usr_key

アカウント設定

ユーザーのGUID。ユーザーの作成時に自動生成されます。

数値

必須: いいえ

システム制御: はい

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: はい

最大サイズ: 19

表示可能: いいえ

表示タイプ: ENTITY

なし

act_key

基本ユーザー情報

ユーザーが所属する組織のGUID。これは必須フィールドです。

数値

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: はい

読取り専用: いいえ

最大サイズ: 19

表示可能: はい

表示タイプ: ENTITY

なし

姓

基本ユーザー情報

ユーザーの姓。これは必須フィールドです。

文字列

必須: はい

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 80

表示可能: はい

表示タイプ: TEXT

なし

名

基本ユーザー情報

ユーザーの名前

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 80

表示可能: はい

表示タイプ: TEXT

なし

ミドル・ネーム

基本ユーザー情報

ユーザーのミドル・ネーム。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 80

表示可能: はい

表示タイプ: TEXT

なし

表示名

基本ユーザー情報

ユーザーの表示名。指定しない場合は、ユーザーの作成時に自動生成されます。

文字列

必須: いいえ

MLS: いいえ

多表現: はい

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 382

表示可能: はい

表示タイプ: TEXT

なし

Xellerateタイプ

基本ユーザー情報

エンドユーザーまたは管理者のタイプです。

文字列

必須: はい

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: はい

読取り専用: いいえ

最大サイズ: 30

表示可能: はい

表示タイプ: CHECKBOX

Lookup.Users.XellerateType

エンドユーザー

エンドユーザー管理者

usr_password

アカウント設定

ユーザーのパスワードを指定します。暗号化された値として格納されます。

文字列

必須: はい

システム制御: いいえ

暗号化: 暗号化

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 128

表示可能: はい

表示タイプ: SECRET

なし

usr_disabled

アカウント設定

ユーザーが有効か無効かを示します。

0の場合、ユーザーは有効です。1の場合、ユーザーは無効です。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: はい

読取り専用: はい

最大サイズ: 1

表示可能: はい

表示タイプ: CHECKBOX

なし

ステータス

アカウント設定

ユーザーのステータス。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: はい

読取り専用: はい

最大サイズ: 25

表示可能: はい

表示タイプ: LOV

Lookup.WebClient.Users.Status

アクティブ

無効

削除

開始日まで無効

ロール

基本ユーザー情報

システムでのユーザーのタイプです。

文字列

必須: はい

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: はい

読取り専用: いいえ

最大サイズ: 255

表示可能: はい

表示タイプ: LOV

Lookup.Users.Role

フルタイム

パートタイム

派遣社員

インターン

コンサルタント

従業員

派遣就業者

非就労者

その他

契約者

ユーザー・ログイン

アカウント設定

ユーザーのログインID。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 256

表示可能: はい

表示タイプ: TEXT

なし

usr_manager_key

基本ユーザー情報

ユーザーのマネージャのGUID。

数値

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: はい

読取り専用: いいえ

最大サイズ: 19

表示可能: はい

表示タイプ: ENTITY

なし

開始日

アカウントの有効日

ユーザーの開始日。

日付

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: はい

読取り専用: いいえ

最大サイズ: -

表示可能: はい

表示タイプ: DATE_ONLY

なし

終了日

アカウントの有効日

ユーザーの終了日。

日付

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: はい

読取り専用: いいえ

最大サイズ: -

表示可能: はい

表示タイプ: DATE_ONLY

なし

usr_provisioning_date

プロビジョニング日

Oracle Identity Managerでユーザー・プロファイルが作成された日付。

日付

必須: いいえ

システム制御: いいえ

暗号化: クリア

検索可能: はい

バルク更新可能: はい

読取り専用: いいえ

最大サイズ: -

表示可能: はい

表示タイプ: DATE_ONLY

なし

usr_deprovisioning_date

プロビジョニング日

リソースがユーザーからプロビジョニング解除される日付。

日付

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: はい

読取り専用: いいえ

最大サイズ: -

表示可能: はい

表示タイプ: DATE_ONLY

なし

usr_provisioned_date

システム

リソースがユーザーにプロビジョニングされた日付。

日付

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: はい

最大サイズ: -

表示可能: いいえ

表示タイプ: DATE_ONLY

なし

usr_deprovisioned_date

システム

リソースがユーザーからプロビジョニング解除された日付。

日付

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: はい

最大サイズ: -

表示可能: いいえ

表示タイプ: DATE_ONLY

なし

電子メール

基本ユーザー情報

ユーザーの電子メール・アドレス。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 256

表示可能: はい

表示タイプ: TEXT

なし

usr_locked

アカウント設定

ユーザー・アカウントがロックされているか、ロック解除されているかを示します。

値が0の場合、アカウントはロック解除されています。

値が1の場合、アカウントはロックされています。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新: いいえ

読取り専用: はい

最大サイズ: 1

表示可能: はい

表示タイプ: LOV

Users.Lock User

0

1

ロック日時

ライフサイクル

ユーザー・アカウントがロックされた日付。

日付

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: はい

最大サイズ: -

表示可能: いいえ

表示タイプ: DATE_ONLY

なし

自動削除日

ライフサイクル

ユーザー・アカウントが自動的に削除される日付。

日付

必須: いいえ

システム制御: いいえ

暗号化: クリア

検索可能: はい

バルク更新可能: はい

読取り専用: はい

最大サイズ: -

表示可能: いいえ

表示タイプ: DATE_ONLY

なし

手動ロック

ライフサイクル

ユーザー・アカウントが自動的にロックされるか、手動でロックされるかを示します。

1の場合、アカウントは管理者が手動でロックします。

0の場合、アカウントは自動的にロックされます(たとえば、誤ったパスワードによるログイン試行の最大回数を超えた場合)。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: はい

最大サイズ: 1

表示可能: いいえ

表示タイプ: TEXT

なし

usr_login_attempts_ctr

システム

ユーザーが誤ったパスワードを使用してログインを試行した回数。これは、正常にログインされるたびに0に設定されます。

数値

必須: いいえ

システム制御: はい

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: はい

最大サイズ: 19

表示可能: いいえ

表示タイプ: NUMBER

なし

usr_create

システム

ユーザーが作成された日付。

日付

必須: いいえ

システム制御: はい

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: はい

最大サイズ: -

表示可能: いいえ

表示タイプ: DATE_ONLY

なし

usr_update

システム

ユーザーが最後に更新された日付。

日付

必須: いいえ

システム制御: はい

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: はい

最大サイズ: -

表示可能: いいえ

表示タイプ: DATE_ONLY

なし

usr_timezone

プリファレンス

ユーザーのタイムゾーン・プリファレンス。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: はい

読取り専用: いいえ

最大サイズ: 100

表示可能: はい

表示タイプ: TIME_ZONE

なし

usr_locale

プリファレンス

ユーザーのロケール・プリファレンス。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: はい

読取り専用: いいえ

最大サイズ: 100

表示可能: はい

表示タイプ: LOV

Notification.Languages

英語

フランス語

ドイツ語

イタリア語 スペイン語

ポルトガル語(ブラジル)

日本語

韓国語

簡体字中国語

繁体字中国語

アラビア語

チェコ語

デンマーク語

オランダ語

フィンランド語

ギリシャ語

ヘブライ語

ハンガリー語

ノルウェー語

ポーランド語

ポルトガル語

ルーマニア語

ロシア語

スロバキア語

スウェーデン語

タイ語

トルコ語

usr_pwd_cant_change

システム

現在、このフィールドは使用されていません。

文字列

必須: いいえ

システム制御: はい

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: はい

最大サイズ: 1

表示可能: いいえ

表示タイプ: CHECKBOX

なし

usr_pwd_must_change

システム

現在、このフィールドは使用されていません。

値が0の場合、パスワードを変更する必要はありません。

値が1の場合、ユーザーはパスワードを変更する必要があります。

文字列

必須: いいえ

システム制御: はい

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: はい

最大サイズ: 1

表示可能: いいえ

表示タイプ: CHECKBOX

なし

usr_pwd_never_expires

システム

現在、このフィールドは使用されていません。

値が0の場合、パスワードに有効期限があります。

値が1の場合、パスワードに有効期限はありません。

文字列

必須: いいえ

システム制御: はい

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: はい

最大サイズ: 1

表示可能: はい

表示タイプ: CHECKBOX

なし

usr_pwd_expire_date

システム

パスワードの有効期限の日付。「パスワードの有効期限なし」が0の場合のみ有効です。

日付

必須: いいえ

システム制御: はい

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: はい

最大サイズ: -

表示可能: いいえ

表示タイプ: DATE_ONLY

なし

usr_pwd_warn_date

システム

ユーザーがパスワードを変更するように警告される日付。

日付

必須: いいえ

システム制御: はい

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新: いいえ

読取り専用: はい

最大サイズ: -

表示可能: いいえ

表示タイプ: DATE_ONLY

なし

usr_pwd_expired

システム

パスワードが有効期限切れであるかどうかを示します。その場合、パスワードはリセットされます。

値が0の場合、パスワードは有効期限切れではありません。

値が1の場合、パスワードは有効期限切れです。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新: いいえ

読取り専用: はい

最大サイズ: 1

表示可能: いいえ

表示タイプ: CHECKBOX

なし

usr_pwd_warned

システム

ユーザーがパスワードを変更するように警告されたかどうかを示します。

0の場合、ユーザーはパスワードを変更するようにまだ警告されていません。

1の場合、ユーザーはパスワードを変更するように警告されました。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: はい

最大サイズ: 1

表示可能: いいえ

表示タイプ: CHECKBOX

なし

usr_pwd_reset_attempts_ctr

システム

ユーザーがチャレンジ質問に誤った回答をしてパスワードのリセットを試行した回数。これは、パスワードが正常にリセットされるたびに0に設定されます。

数値

必須: いいえ

システム制御: はい

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: はい

最大サイズ: 19

表示可能: いいえ

表示タイプ: NUMBER

なし

usr_change_pwd_at_next_logon

システム

ユーザーが次のログイン時にパスワードを変更する必要があるかどうかを示します。

値が1の場合、ユーザーは次のログイン時にパスワードをリセットする必要があります。値が0の場合、ユーザーは次のログイン時にパスワードをリセットする必要はありません。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新: いいえ

読取り専用: はい

最大サイズ: 1

表示可能: いいえ

表示タイプ: CHECKBOX

なし

usr_data_level

システム

このレコードに対してサポートされている操作の種類(追加、変更、削除など)を示します。

この列の有効な値は次のとおりです。

0: この行は更新または削除できることを示します。

1: この行は更新および削除できないことを示します。

2: この行は変更のみできますが、削除はできないことを示します。

3: この行は削除のみできますが、変更はできないことを示します。

文字列

必須: いいえ

システム制御: はい

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: はい

最大サイズ: 1

表示可能: いいえ

表示タイプ: TEXT

なし

usr_pwd_min_age_date

システム

日付を設定した場合、その日付までユーザー・パスワードは変更できないことを示します。

日付

必須: いいえ

システム制御: はい

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: はい

最大サイズ: -

表示可能: いいえ

表示タイプ: DATE_ONLY

なし

usr_createby

システム

このユーザーを作成したユーザーのGUID。

数値

必須: いいえ

システム制御: はい

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: はい

最大サイズ: 19

表示可能: いいえ

表示タイプ: ENTITY

なし

usr_updateby

システム

このユーザーを更新したユーザーのGUID。

数値

必須: いいえ

システム制御: はい

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: はい

最大サイズ: 19

表示可能: いいえ

表示タイプ: ENTITY

なし

usr_created

システム

現在、これはOracle Identity Managerで使用されていません。

日付

必須: いいえ

システム制御: はい

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: はい

最大サイズ: 19

表示可能: いいえ

表示タイプ: DATE_ONLY

なし

usr_policy_update

システム

ユーザーのポリシーを再評価するために使用します。現在のポリシーを適用するすべてのユーザーについてオブジェクト・ポリシーを再評価するには、UPP表およびUPD表を評価して、現在のポリシーのユーザー・リストを取得します。検出されたユーザーごとに、policy_updateフラグを設定します。post-insert、post-updateおよびpost_deleteイベント・ハンドラをtcPOPに付加します。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: はい

読取り専用: はい

最大サイズ: 1

表示可能: いいえ

表示タイプ: TEXT

なし

国

その他のユーザー属性

ユーザーの国。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 100

表示可能: はい

表示タイプ: TEXT

なし

部門番号

その他のユーザー属性

ユーザーの部門番号。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 80

表示可能: はい

表示タイプ: TEXT

なし

説明

その他のユーザー属性

ユーザーの説明。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 2000

表示可能: はい

表示タイプ: TEXT

なし

共通名

その他のユーザー属性

ユーザーの共通名。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 240

表示可能: はい

表示タイプ: TEXT

なし

従業員番号

その他のユーザー属性

ユーザーの従業員番号。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 80

表示可能: はい

表示タイプ: TEXT

なし

FAX

その他のユーザー属性

ユーザーのFAX番号。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 20

表示可能: はい

表示タイプ: TEXT

なし

生成修飾子

その他のユーザー属性

ユーザーの生成修飾子。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 20

表示可能: はい

表示タイプ: TEXT

なし

入社日

その他のユーザー属性

ユーザーの入社日。

日付

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: -

表示可能: はい

表示タイプ: DATE_ONLY

なし

自宅電話番号

その他のユーザー属性

ユーザーの自宅電話番号。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 20

表示可能: はい

表示タイプ: TEXT

なし

地方名

その他のユーザー属性

ユーザーの地方名。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 80

表示可能: はい

表示タイプ: TEXT

なし

モバイル

その他のユーザー属性

ユーザーのモバイル番号。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 20

表示可能: はい

表示タイプ: TEXT

なし

ページャ

その他のユーザー属性

ユーザーのページャ番号。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 20

表示可能: はい

表示タイプ: TEXT

なし

自宅住所

その他のユーザー属性

ユーザーの自宅住所。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 256

表示可能: はい

表示タイプ: TEXT

なし

住所

その他のユーザー属性

ユーザーの住所。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 256

表示可能: はい

表示タイプ: TEXT

なし

郵便番号

その他のユーザー属性

ユーザーの郵便番号。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 230

表示可能: はい

表示タイプ: TEXT

なし

私書箱

その他のユーザー属性

ユーザーの私書箱。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 20

表示可能: はい

表示タイプ: TEXT

なし

都道府県

その他のユーザー属性

ユーザーの都道府県。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 80

表示可能: はい

表示タイプ: TEXT

なし

番地

その他のユーザー属性

ユーザーの住所の番地。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 80

表示可能: はい

表示タイプ: TEXT

なし

電話番号

その他のユーザー属性

ユーザーの電話番号。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 20

表示可能: はい

表示タイプ: TEXT

なし

役職

その他のユーザー属性

ユーザーの役職。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 80

表示可能: はい

表示タイプ: TEXT

なし

イニシャル

その他のユーザー属性

ユーザーのイニシャル。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 10

表示可能: はい

表示タイプ: TEXT

なし

生成されたパスワード

システム

このフラグは、ユーザーに対してパスワードが自動生成されたかどうかを示します。

文字列

必須: いいえ

システム制御: はい

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: はい

最大サイズ: 1

表示可能: いいえ

表示タイプ: TEXT

なし

LDAP組織

その他のユーザー属性

LDAPのユーザー組織名。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 80

表示可能: はい

表示タイプ: TEXT

なし

LDAP組織単位

その他のユーザー属性

LDAPのユーザー組織単位(部門、大規模エンティティのサブエンティティなど)。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 80

表示可能: はい

表示タイプ: TEXT

なし

LDAP GUID

その他のユーザー属性

LDAPのユーザーのグローバル一意識別子。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 256

表示可能: はい

表示タイプ: TEXT

なし

LDAP DN

その他のユーザー属性

LDAPのユーザーの識別名。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 256

表示可能: はい

表示タイプ: TEXT

なし

FA言語

プリファレンス

LDAP環境でのユーザーの言語。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: はい

読取り専用: いいえ

最大サイズ: 100

表示可能: いいえ

表示タイプ: TEXT

該当なし

埋込みヘルプ

その他のユーザー属性

ロールオーバー時にヘルプ・ポップアップを非表示にするかどうかを示します。この属性はOracle Identity Managerで解釈されないため、LDAPで値を保持するために使用されます。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 10

表示可能: いいえ

表示タイプ: LOV

Lookup.Users.EmbeddedHelp

True

False

数値書式

その他のユーザー属性

ユーザーの数値書式プリファレンス。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 30

表示可能: いいえ

表示タイプ: LOV

Lookup.Users.NumberFormat

#,##0.##[.,]

#,##0.###[\u00A0,]

#,##0.###

#,##0.###;#,##0.###-

#,##0.###[.,]

#,##0.###;(#,##0.###)[.,]

#,##0.##[\u00A0,]

#,##0.###['.]

#,##0.###[',]

日付書式

その他のユーザー属性

ユーザーの日付書式プリファレンス。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 20

表示可能: いいえ

表示タイプ: LOV

Lookup.Users.DateFormat

MM-dd-yyyy

MM-dd-yy

MM.dd.yyyy

MM.dd.yy

mm/dd/yyyy

MM/dd/yy

M-d-yyyy

M-d-yy

M.d.yyyy

M.d.yy

M/d/yyyy

M/d/yy

dd-MM-yyyy

dd-MM-yy

d-M-yyyy

d-M-yy

dd.MM.yyyy

dd.MM.yy

d.M.yyyy

d.M.yy

dd/MM/yyyy

dd/mm/yy

d/M/yyyy

d/M/yy

yyyy-MM-dd

yy-MM-dd

yyyy-M-d

yy-M-d

yyyy.MM.dd

yy.MM.dd

yyyy.M.d

yy.M.d

yy. M. d

yyyy/MM/dd

yy/MM/dd

yyyy/M/d

yy/M/d

時間書式

その他のユーザー属性

ユーザーの時間書式プリファレンス。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 20

表示可能: いいえ

表示タイプ: LOV

Lookup.Users.TimeFormat

HH.mm

HH.mm.ss

HH:mm

HH:mm:ss

H:mm

H:mm:ss

H.mm

H.mm.ss

a hh.mm

a hh.mm.ss

a hh:mm

a hh:mm:ss

ah:mm

ah:mm:ss

hh.mm a

hh.mm.ss a

hh:mm a

hh:mm:ss a

通貨

その他のユーザー属性

ユーザーの優先通貨。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 20

表示可能: いいえ

表示タイプ: LOV

Lookup.Users.Currency

フォント・サイズ

その他のユーザー属性

ユーザーの優先フォント・サイズ(大、中など)。これは、アクセシビリティ機能に関連しています。この属性はOracle Identity Managerで解釈されないため、LDAPで値を保持するために使用されます。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 10

表示可能: いいえ

表示タイプ: LOV

Lookup.Users.FontSize

大

中

カラー・コントラスト

その他のユーザー属性

ユーザーの優先カラー・コントラスト(標準、高など)。これは、アクセシビリティ機能に関連しています。この属性はOracle Identity Managerで解釈されないため、LDAPで値を保持するために使用されます。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 10

表示可能: いいえ

表示タイプ: LOV

Lookup.Users.ColorContrast

標準

高

アクセシビリティ・モード

その他のユーザー属性

ユーザーの優先アクセシビリティ機能(最適化されたスクリーン・リーダー、標準アクセシビリティなど)。この属性はOracle Identity Managerで解釈されないため、LDAPで値を保持するために使用されます。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 20

表示可能: いいえ

表示タイプ: テキスト

Lookup.Users.AccessibilityMode

スクリーン・リーダー

アクセス不可

デフォルト

FA地域

プリファレンス

LDAP環境でのユーザーの地域。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

読取り専用: いいえ

最大サイズ: 100

表示可能: いいえ

表示タイプ: LOV

該当なし

ユーザー名優先言語

プリファレンス

ユーザーの表示名のみをその言語で表示するために使用する、ユーザーのプリファレンス言語。

注意: このプリファレンスはOracle Identity Managerに格納できますが、Oracle Identity ManagerのUIには適用されません。

文字列

必須: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: はい

読取り専用: いいえ

最大サイズ: 20

表示可能: いいえ

表示タイプ: LOV

mls_locale_code順(昇順)に並べたlocale_flagが0または1のmls_localeから、MLS_LOCALE_CODEをUSR_NAME_PREFERRED_LANGとして選択します。

11.3 デフォルトのユーザー・アカウント

表11-3に、Oracle Identity Managerで作成されているデフォルトのユーザー・アカウントをリストします。

表11-3 デフォルトのユーザー・アカウント

アカウント

説明

XELSYSADM

このアカウントは、Oracle Identity Manager管理者(スーパーユーザー)であり、インストール時に作成されます。インストール時、このアカウントのパスワードを作成します。インストール後の任意の時点でパスワードを変更するには、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のOracle Identity Manager管理者パスワードの変更に関する項を参照してください。

WEBLOGIC

このアカウントは、ユーザー・ロール・プロバイダ実装を使用してSOAとOracle Identity Managerの統合に使用されます。LDAPベースのユーザーロール・プロバイダを使用するためにSOAが再構成される場合、Oracle Identity Managerではこのアカウントは必要ありません。

このアカウントはインストール時に作成されます。インストール時、このアカウントのパスワードを作成します。インストール後の任意の時点でこのアカウントのユーザー名を変更するには、『Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド』のLDAPでプロビジョニングされた管理ユーザーを使用したOracle Identity ManagerからSOAへの接続の有効化に関する項を参照してください。

OIMINTERNAL

このアカウントは、JMSメッセージを実行するメッセージドリブンBean (MDB)の別名実行ユーザーに設定されます。このアカウントは、インストール時に作成され、Oracle Identity Managerによって内部的に使用されます。

このアカウントのパスワードは、Oracle Identity Managerデータベースでシングルスペース文字に設定され、Oracle Identity Manager DesignコンソールまたはOracle Identity Managerシステム管理コンソールからユーザーがログインできないようにしています。

このアカウントのユーザー名またはパスワードを変更しないでください。

11.4 ユーザー管理タスク

Oracle Identity Self Serviceを使用して、次のユーザー管理タスクを実行できます。

注意:

この項でリストされた各タスクの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のセキュリティ・アーキテクチャに関する説明を参照してください。

- ユーザーの検索

- ユーザーの作成

- ユーザーの詳細の表示

- ユーザーの変更

- ユーザーの無効化

- ユーザーの有効化

- ユーザーの削除

- アカウントのロック

- アカウントのロック解除

11.4.1 ユーザーの検索

検索操作によって、指定した検索基準に基づいてユーザー・エンティティを検索できます。各検索基準は次の内容で構成されます。

- 検索対象の属性

- 「次と等しい」や「次で始まる」などの検索演算子

- 検索する値

ユーザーを検索する手順は、次のとおりです。

1. Identity Self Serviceにログインします。

2. 左ペインの「管理」の下で、「ユーザー」を選択します。「ユーザーの管理」ページが表示されます。

3. 次のオプションのいずれかを選択します。

- すべて: このオプションを選択すると、検索はAND条件で実行されます。つまり、指定されたすべての検索基準を満たす場合のみ検索操作が成功します。

- いずれか: このオプションを選択すると、検索はOR条件で実行されます。つまり、指定された選択基準のいずれかに一致する場合に検索操作が成功します。

4. 「ユーザー・ログイン」などの検索可能なユーザー属性のフィールドで、値を指定します。属性値にはワイルドカード文字(*)を含めることができます。
一部の属性では、リストから属性値を選択します。たとえば、アカウントがロックされているユーザーをすべて検索するには、「アカウント・ステータス」リストから「ロック」を選択します。

5. 指定した各属性値に対して、リストから検索演算子を選択します。次の検索演算子が使用可能です。

- 次で始まる

- 次で終わる

- 次と等しい

- 次と等しくない

- 次を含む

- 次を含まない

検索演算子とワイルドカード文字を組み合せて、検索条件を指定できます。アスタリスク(*)文字をワイルドカード文字として使用します。たとえば、検索基準として「ユーザー・ログイン」属性の値に「Jo*」と指定して、検索演算子として「次と等しい」を選択できます。「Jo」で始まるログイン名を持つユーザーが表示されます。

6. 検索可能なユーザー属性を「ユーザーの管理」ページに追加するには、「フィールドの追加」をクリックして、属性のリストから属性を選択します。
たとえば、米国という「国」属性を持つユーザーをすべて検索する場合、検索可能フィールドとして「国」属性を追加し、検索条件を指定できます。

注意:

検索可能な属性を構成できます。検索に使用可能な属性は、「検索可能」プロパティが「はい」にマークされているユーザー・エンティティに対して定義した属性のサブセットである必要があります。

7. 必要に応じて、「リセット」をクリックし、指定した検索条件をリセットします。通常、この手順を実行すると、指定した検索条件を削除し、新しい検索条件を指定します。

8. 「検索」をクリックします。検索結果が表形式で表示されます。

9. 検索結果で列を非表示にする場合は、次の手順を実行します。

1. ツールバーで「ビュー」をクリックし、「列」、「列の管理」を選択します。「列の管理」ダイアログ・ボックスが表示されます。

2. 「表示される列」リストから、非表示にする列を選択します。

3. 左矢印アイコンをクリックして、列を「非表示列」リストに追加します。

4. 「OK」をクリックします。選択した列は検索結果に表示されません。現在非表示になっている列の数を示すステータス・メッセージが、検索表の下部に表示されます。図は、3つの列が非表示であることを示しています。

11.4.1.1 検索結果に対する操作

この項では、検索結果表で選択した行に対して実行できる操作について説明します。これは、単一選択操作とバルク(複数)選択操作に区分できます。

検索結果表から1名のユーザーを選択して、次の単一選択操作を実行できます。

- 詳細の表示

- 変更(ユーザー・ステータスが「アクティブ」の場合のみ)

- 有効化(ユーザー・ステータスが「無効」の場合のみ)

- 無効化(ユーザー・ステータスが「有効」の場合のみ)

- ロック(選択したユーザーのアカウントがロック解除されている場合のみ)

- ロック解除(選択したユーザーのアカウントがロックされている場合のみ)

- パスワードのリセット

- 削除

検索結果表から複数のユーザーを選択して、次のバルク(複数)選択操作を実行できます。

- 変更

- 有効化(ユーザー・ステータスが「無効」の場合のみ)

- 無効化(ユーザー・ステータスが「有効」の場合のみ)

- ロック(選択したユーザーのアカウントがロック解除されている場合のみ)

- ロック解除(選択したユーザーのアカウントがロックされている場合のみ)

- 削除

注意:

操作は、ユーザーの管理ロールによって決定された認可権限に応じて、直接的な操作または承認を受けるリクエストベースの操作のいずれかになります。

11.4.2 ユーザーの作成

「ユーザーの作成」ページを使用して、Oracle Identity Managerに新規ユーザーを作成できます。このページは、Oracle Identity Managerの組織において、ユーザーの作成権限に関する認可ポリシーでユーザーを作成する権限が付与されている場合のみ開くことができます。

注意:

ユーザー作成操作は、付与されている認可権限に基づいて、直接的な操作で行うか、または承認を受けるリクエストを生成します。

ユーザーを作成する手順は、次のとおりです。

1. 「アイデンティティ・セルフ・サービス」で、「管理」の下の「ユーザー」をクリックします。「ユーザーの検索」ページが表示されます。

2. 「アクション」メニューから「作成」を選択します。または、ツールバーにある「作成」をクリックします。「ユーザーの作成」ページが表示され、ユーザー・プロファイル属性の入力フィールドが表示されます。

3. 「ユーザーの作成」ページに、ユーザーの詳細を入力します。表11-4に、「ユーザーの作成」ページのフィールドを示します。

表11-4 「ユーザーの作成」ページのフィールド

セクション

フィールド

説明

理由と有効日

理由

ユーザーを作成する理由。

有効日

この日付にユーザーを作成する必要があります。

基本ユーザー情報

名

ユーザーの名。

ミドル・ネーム

ユーザーのミドル・ネーム。

姓

ユーザーの姓。

電子メール

ユーザーの電子メール・アドレス。

マネージャ

ユーザーのレポート・マネージャ。

組織

ユーザーが所属する組織。これはホーム組織と呼ばれることもあります。

ユーザー・タイプ

従業員のタイプ(コンサルタント、契約者、派遣就業者、従業員、フルタイムの従業員、インターン、非就業者、その他、パートタイムの従業員または派遣社員など)。

表示名

ローカライズされた値で、追加するには「ローカライゼーションの管理」をクリックし、言語リストから値を選択します。表示名は33の言語で表示可能です。

アカウント設定

ユーザー・ログイン

管理コンソールにログインするために指定するユーザー名。

パスワード

管理コンソールにログインするために指定するパスワード。

パスワードの確認

管理コンソールにログインするために指定するパスワードを再入力します。

アカウントの有効日

開始日

ユーザーがシステムでアクティブ化される日付。

終了日

ユーザーがシステムで非アクティブ化される日付。

プロビジョニング日

プロビジョニング日

ユーザーがシステムにプロビジョニングされる日付。

プロビジョニング解除日

ユーザーがシステムからプロビジョニング解除される日付。

連絡先情報

電話番号

ユーザーの電話番号。

自宅電話番号

ユーザーの住所の電話番号。

自宅住所

ユーザーの住居の住所。

FAX

ユーザーのFAX番号。

モバイル

ユーザーのモバイル番号。

ページャ

ユーザーのページャ番号。

住所

ユーザーの住所。

郵便番号

ユーザーの住所の郵便番号。

私書箱

ユーザーの住所の私書箱番号。

都道府県

ユーザーの都道府県名。

番地

ユーザーが常駐する住所の番地。

国

ユーザーが常駐する国。

プリファレンス

ロケール

ユーザーのロケール・コード。

タイムゾーン

ユーザーのタイムゾーン。

その他の属性

共通名

ユーザーの共通名。

部門番号

ユーザーの部門番号。

従業員番号

ユーザーの従業員番号。

生成修飾子

ユーザーが生成に適格かどうか。

入社日

ユーザーの入社日。

地方名

ユーザーが常駐する地方の名前。

イニシャル

ユーザーのイニシャル。

役職

ユーザーの役職。

4. 「送信」をクリックします。ユーザーが正常に作成されたことを示すメッセージが表示されます。

ヒント:

ユーザーは次のいずれかの方法で作成できます。

- Oracle Identity Administrationを使用

- 自己登録

- SPML WebサービスまたはAPIを使用

前述のすべての方法について、Oracle Identity Managerでは、デフォルト・パスワード・ポリシー、またはデフォルト・ルールに対するパスワード・ポリシーが使用されます。別のパスワード・ポリシーを使用する場合は、Oracle Identity System Administrationを使用して、新しいパスワード・ポリシーをデフォルト・ルールに付加する必要があります。これを行う場合は、Oracle Fusion Middleware Oracle Identity Manager管理者ガイドのパスワード・ポリシーの管理に関する項を参照してください。

11.4.3 ユーザーの詳細の表示

ユーザーの表示操作では、「ユーザーの詳細」ページで詳細なユーザー・プロファイル情報を表示できます。このページは、認可ポリシーでユーザー詳細の表示権限によりユーザーのプロファイルを表示する権限が付与されている場合に開くことができます。

ユーザーの詳細を表示する手順は、次のとおりです。

1. 「アイデンティティ・セルフ・サービス」で、「管理」の下の「ユーザー」をクリックします。「ユーザーの検索」ページが表示されます。

2. 詳細を表示するユーザーを検索します。

3. 検索結果の表で、「ユーザー・ログイン」列のユーザー・ログイン名をクリックします。「ユーザーの詳細」ページが表示されます。

次のタブに、ユーザーの詳細が表示されます。

- 属性タブ: 基本ユーザー情報、アカウントの有効日およびプロビジョニング日を含む属性プロファイルが表示されます。詳細は、「ユーザー属性の編集」を参照してください。

- ロール・タブ: ユーザーが属するロールのリストが表示されます。各ロールをクリックすると、そのロールのサマリー情報を表示できます。
「ロール」タブでは、ユーザーにロールを割り当てたり、ユーザーからロールを削除できます。詳細は、「ロールの追加と削除」を参照してください。

- 権限タブ: ユーザーの権限のリストが表示されます。各権限をクリックすると、その権限のサマリーを表示できます。
権限タブでは、権限のリクエストおよびユーザーからの権限の削除ができます。詳細は、「権限の追加と削除」を参照してください。

- アカウント・タブ: ユーザーのアカウントのリストが表示されます。各アカウントをクリックすると、そのアカウントのサマリーを表示できます。
このタブで実行する一般的なタスクは、アカウントのリクエスト、アカウントの変更と削除、アカウントのプライマリとしてのマーク付けおよびアカウントの無効化と有効化です。詳細は、「アカウントの変更」を参照してください。

- 直属の部下タブ: マネージャとして設定されているユーザーの読取り専用の表が表示されます。つまり、このタブには、ユーザーの直属の部下がリストされます。表内の各ユーザーに関して、次の情報が表示されます。

- 表示名

- ユーザー・ログイン

- ステータス

- 組織

表で行を選択すると、直属の部下に関するサマリー情報が下部に表示されます。

「直属の部下」では、直属の部下のユーザー詳細を開くことができます。これを行うには、直属の部下の表で行を選択し、ツールバーにある「開く」アイコンをクリックします。

- 管理ロール・タブ: ユーザーに割り当てられている管理ロールのリストが表示されます。管理ロールを選択すると、その管理ロールのサマリー情報を表示できます。
管理ロールの詳細情報を使用して、「下位組織を含める」オプションを選択または選択解除できます。このオプションを選択している場合は、その管理ロールが組織および組織のすべての下位組織のユーザーに適用可能であることを指定します。このオプションを選択していない場合は、その管理ロールが組織のみのユーザーに適用可能であることを指定します。詳細は、「管理ロールの管理」を参照してください。

11.4.4 ユーザーの変更

ユーザー詳細から管理ユーザー変更タスクを実行できます。変更はユーザー詳細が表示されているページの複数のタブで個別に行うため、各タブで実行した変更は他のタブに影響を与えず、変更内容は個別に保存する必要があります。各タブで実行できる変更について、次の各項で概略を説明します。

注意:

ユーザーの変更操作は、付与されている認可権限に基づいて、直接的な操作になるか、または承認を受けるリクエストを生成します。

- ユーザー属性の編集

- ロールの追加と削除

- 権限の追加および削除

- アカウントの変更

- 直属の部下の詳細の変更

11.4.4.1 ユーザー属性の編集

ユーザーの属性を編集する手順は、次のとおりです。

1. 「管理」の下の「ユーザー」セクションで、属性を変更するユーザーを検索します。

2. 検索結果表でユーザーを選択します。

3. 次のいずれかの方法でユーザーを変更します。

- ツールバーにある「編集」をクリックします。

- 「アクション」メニューから、「編集」を選択します。

- 無効化するユーザー・レコードのユーザー・ログインをクリックします。「ユーザーの詳細」ページで、ツールバーにある「ユーザーの変更」をクリックします。

4. 「ユーザーの変更」ページで、必要に応じて、各フィールドの属性の値を変更します。

5. 「送信」をクリックします。属性の変更操作が正常に完了します。

11.4.4.2 ロールの追加と削除

「ユーザーの詳細」ページの「ロール」タブで、ロールを追加または削除できます。ユーザーにロールを割り当てる手順は、次のとおりです。

1. 「ユーザーの詳細」ページで、「ロール」タブをクリックします。「ロール」タブに、このユーザーに割り当てられているロールのリストが表示されます。

2. 「アクション」メニューで、「リクエスト」を選択します。または、ツールバーにある「ロールのリクエスト」をクリックします。「カタログ」ページが表示されます。

3. 「カタログ」フィールドの横にある「検索」アイコンをクリックします。リクエストに使用可能なカタログ項目のリストが表示されます。

注意:

リクエストにユーザーが使用可能なカタログ項目は、ユーザーの管理ロールに対して定義された認可権限によって制御されます。

4. リクエストするロールのカタログ項目を選択します。

5. 「選択した項目をカートに追加」をクリックします。選択したロールのカタログ項目が、リクエスト・カートに追加されます。

6. 「チェックアウト」をクリックします。リクエストが承認者によって承認されると、ロールはユーザーに割り当てられます。
「表示と編集」をクリックすると、カタログ項目を編集できます。

ユーザーからロールを削除する手順は、次のとおりです。

1. 「ユーザーの詳細」ページで、「ロール」タブをクリックします。「ロール」タブに、このユーザーに割り当てられているロールのリストが表示されます。

2. 削除するロールを選択します。

3. 「アクション」メニューで、「削除」を選択します。または、ツールバーにある「ロールの削除」をクリックします。「カタログ」ページが表示されます。

4. 「カタログ」フィールドの横にある「検索」アイコンをクリックします。リクエストに使用可能なカタログ項目のリストが表示されます。

注意:

リクエストにユーザーが使用可能なカタログ項目は、ユーザーの管理ロールに対して定義された認可権限によって制御されます。

5. 削除するロールのカタログ項目を選択します。

6. 「選択した項目をカートに追加」をクリックします。選択したロールのカタログ項目が、リクエスト・カートに追加されます。

7. 「チェックアウト」をクリックします。ロールは、ユーザーに付与された認可権限に応じて即時に削除されるか、リクエストが要求されるかのいずれかです。
「表示と編集」をクリックすると、カタログ項目を編集できます。

11.4.4.3 権限の追加および削除

ユーザーの権限をリクエストする手順は、次のとおりです。

1. 「ユーザーの詳細」ページで、「権限」をクリックします。「権限」タブに、このユーザーに割り当てられている権限のリストが表示されます。

2. 「アクション」メニューで、「リクエスト」を選択します。または、ツールバーにある「権限」をクリックします。「カタログ」ページが表示されます。

3. 「カタログ」フィールドの横にある「検索」アイコンをクリックします。リクエストに使用可能なカタログ項目のリストが表示されます。

注意:

リクエストにユーザーが使用可能なカタログ項目は、ユーザーの管理ロールに対して定義された認可権限によって制御されます。

4. リクエストする権限のカタログ項目を選択します。

5. 「選択した項目をカートに追加」をクリックします。選択した権限のカタログ項目が、リクエスト・カートに追加されます。

6. 「チェックアウト」をクリックします。リクエストが承認者によって承認されると、権限はユーザーに割り当てられます。
「表示と編集」をクリックすると、カタログ項目を編集できます。

ユーザーから権限を削除する手順は、次のとおりです。

1. 「ユーザーの詳細」ページで、「権限」をクリックします。「権限」タブに、このユーザーに割り当てられている権限のリストが表示されます。

2. 削除する権限を選択します。

3. 「アクション」メニューで、「削除」を選択します。または、ツールバーにある「権限の削除」をクリックします。「カタログ」ページが表示されます。

4. 「カタログ」フィールドの横にある「検索」アイコンをクリックします。リクエストに使用可能なカタログ項目のリストが表示されます。

注意:

リクエストにユーザーが使用可能なカタログ項目は、ユーザーの管理ロールに対して定義された認可権限によって制御されます。

5. 削除する権限のカタログ項目を選択します。

6. 「選択した項目をカートに追加」をクリックします。選択した権限のカタログ項目が、リクエスト・カートに追加されます。

7. 「チェックアウト」をクリックします。リクエストが承認者によって承認されると、権限はユーザーから削除されます。
「表示と編集」をクリックすると、カタログ項目を編集できます。

11.4.4.4 アカウントの変更

「ユーザーの詳細」ページの「アカウント」タブでは、次のアカウント変更操作を実行できます。

- アカウントのリクエスト

- アカウントの変更

- アカウントの削除

- アカウントのプライマリとしてのマーク付け

- アカウントの無効化

- アカウントの有効化

11.4.4.4.1 アカウントのリクエスト

アプリケーション・インスタンスをリクエストすることでアカウントをリクエストできます。次のタイプのアカウントをリクエストできます(アプリケーション・インスタンス)。

- プライマリ・アカウント: プライマリ・アカウントは、ターゲット・アプリケーションのユーザーに対して作成される最初のアカウントです。つまり、リクエストされる最初のアプリケーション・インスタンスがプライマリ・アカウントです。Oracle Identity Managerは、1つのアプリケーション・インスタンスに対して複数のアカウントをサポートしています。作成される最初のアカウントはプライマリ・アカウントとしてタグが付けられ、ユーザーにとって唯一のプライマリ・アカウントになります。プライマリ・アカウントには、他のアカウント(プライマリ以外のアカウント)が関連付けられます。ユーザーが権限をリクエストすると、その権限がプライマリ・アカウントに追加されます。

- プライマリ以外のアカウント: ユーザーがプライマリ・アカウントを所有しており、同じターゲット・アプリケーションの別のアカウントをリクエストすると、そのアカウントはプライマリ以外のアカウントになります。1人のユーザーは複数のプライマリ以外のアカウントを持つことができますが、プライマリ・アカウントは1つのみです。

関連項目:

アカウントのプライマリとしてのマークの詳細は、「アカウントのプライマリとしてのマーク」を参照してください。

アカウントをリクエストする手順は、次のとおりです。

1. 「ユーザーの詳細」ページで、「アカウント」タブをクリックします。このタブにユーザーのアカウントがリストされます。

2. 「アクション」メニューで、「リクエスト」を選択します。または、ツールバーにある「アカウントのリクエスト」をクリックします。「カタログ」ページが表示されます。

3. 「カタログ」フィールドの横にある「検索」アイコンをクリックします。リクエストに使用可能なカタログ項目のリストが表示されます。

注意:

リクエストにユーザーが使用可能なカタログ項目は、ユーザーの管理ロールに対して定義された認可権限によって制御されます。

4. リクエストするアカウントのカタログ項目を選択します。つまり、リクエストするアプリケーション・インスタンスを選択します。

5. 「選択した項目をカートに追加」をクリックします。選択したアカウントのカタログ項目が、リクエスト・カートに追加されます。

6. 「チェックアウト」をクリックします。リクエストが承認者によって承認されると、アカウントはユーザーに付与されます。
「表示と編集」をクリックすると、カタログ項目を編集できます。

11.4.4.4.2 アカウントの変更

ユーザーのアカウントを変更する手順は、次のとおりです。

1. 「アカウント」タブで、変更するアカウントを選択します。

2. 「アクション」メニューで、「変更」を選択します。または、ツールバーにある「アカウントの変更」をクリックします。編集可能なアカウントの詳細が表示されます。

3. 変更するフィールを編集します。

4. 「OK」をクリックします。

11.4.4.4.3 アカウントの削除

ユーザーからアカウントを削除する手順は、次のとおりです。

1. 「アカウント」タブで、「アクション」メニューから「削除」を選択します。または、ツールバーにある「アカウントの削除」をクリックします。「カタログ」ページが表示されます。

2. 「カタログ」フィールドの横にある「検索」アイコンをクリックします。リクエストに使用可能なカタログ項目のリストが表示されます。

注意:

リクエストにユーザーが使用可能なカタログ項目は、ユーザーの管理ロールに対して定義された認可権限によって制御されます。

3. 削除するアカウントのカタログ項目を選択します。

4. 「選択した項目をカートに追加」をクリックします。選択したアカウントのカタログ項目が、リクエスト・カートに追加されます。

5. 「チェックアウト」をクリックします。リクエストが承認者によって承認されると、アカウントはユーザーから削除されます。
「表示と編集」をクリックすると、カタログ項目を編集できます。

11.4.4.4.4 アカウントのプライマリとしてのマーク付け

Oracle Identity Managerでは、1つのアプリケーション・インスタンスで複数のアカウントをサポートしています。作成された最初のアカウントはプライマリ・アカウントとしてタグが付けられ、ユーザーに対して1つのみのプライマリ・アカウントが存在します。プライマリ・アカウントには、他のアカウント(プライマリ以外のアカウント)が関連付けられます。

権限のすべてのタイプが、リクエスト・カタログでのリクエストに使用可能です。権限に対するリクエストが承認されると、プライマリ以外のアカウントではなく、プライマリ・アカウントに関連付けられます。

ユーザーがアプリケーション・インスタンスにプロビジョニングされると、Oracle Identity Managerは、そのアプリケーション・インスタンスでユーザーにプロビジョニングされた最初のアカウントであるかを確認します。そうでれば、アカウントはプライマリとしてマークされます。既存のユーザー・アカウントがアプリケーション・インスタンスからリコンサイルされている場合、リコンサイルされた最初のアカウントがプライマリとしてマークされます。

ユーザーが所有できるプライマリ・アカウントは1つのみです。ただし、Oracle Identity Managerでは、1つのアプリケーション・インスタンスに対して複数のアカウントをサポートしています。プライマリとしてマークされたアカウントが実際のプライマリ・アカウントでない場合、そのアカウントのプライマリ・タグを手動で変更して、別のアカウントをプライマリとしてマークできます。これを行うことによって、ユーザーが権限をリクエストする場合に、その権限がプライマリ・アカウントに追加されることを確認できます。

アカウントをプライマリとしてマークする手順は、次のとおりです。

1. 「アカウント」タブで、プライマリとしてマークするアカウントを選択します。

2. 「アクション」メニューで、「プライマリにする」を選択します。または、ツールバーにある「プライマリにする」をクリックします。
確認を求めるメッセージが表示されます。

3. 「はい」をクリックして確認します。アカウントがプライマリとしてマークされます。

11.4.4.4.5 アカウントの無効化

「有効」状態のアカウントを無効化できます。アカウントを無効化する手順は、次のとおりです。

1. 「アカウント」タブで、無効化するアカウントを選択します。

2. 「アクション」メニューで、「無効化」を選択します。または、ツールバーにある「無効化」をクリックします。
確認を求めるメッセージが表示されます。

3. 「はい」をクリックして確認します。アカウントが無効の場合。

11.4.4.4.6 アカウントの有効化

「無効」状態のアカウントを有効化できます。アカウントを有効化する手順は、次のとおりです。

1. 「アカウント」タブで、有効化するアカウントを選択します。

2. 「アクション」メニューで、「有効化」を選択します。または、ツールバーにある「有効化」を選択します。
確認を求めるメッセージが表示されます。

3. 「はい」をクリックして確認します。アカウントが有効化されます。

11.4.4.5 直属の部下の詳細の変更

直属の部下の詳細を変更する手順は、次のとおりです。

1. 「ユーザーの詳細」ページで、「直属の部下」タブをクリックします。このタブには、開かれてるユーザーの直属の部下がリストされます。

2. 変更するユーザーまたは直属の部下を選択します。

3. ツールバーにある「編集」アイコンをクリックします。選択した直属の部下の「ユーザーの詳細」ページが表示されます。ツールバーとタブを使用して、直属の部下の詳細を変更します。

11.4.5 ユーザーの無効化

「有効」状態のユーザーを無効化する手順は、次のとおりです。

1. 「管理」の下の「ユーザー」セクションで、無効化するユーザーを検索して選択します。

2. 次のいずれかの方法でユーザーを無効化します。

- ツールバーにある「無効化」をクリックします。

- 「アクション」メニューから「無効化」を選択します。

- 無効化するユーザー・レコードのユーザー・ログインをクリックします。「ユーザーの詳細」ページで、ツールバーにある「ユーザーの無効化」をクリックします。

3. 「ターゲット・ユーザー」セクションで、プラス・アイコン(+)をクリックしてターゲット・ユーザーを検索し、無効化するユーザーのリストに追加します。また、各ユーザーの「ユーザーの詳細」リンクをクリックすると、ユーザーの詳細を表示できます。

4. 必要に応じて、「理由」および「有効日」セクションで、選択したユーザーを無効化する理由および有効日を指定します。「送信」をクリックします。ユーザーが正常に無効化されたことを示すメッセージが表示されます。

11.4.6 ユーザーの有効化

無効化されたユーザーを有効化する手順は、次のとおりです。

1. 「管理」の下の「ユーザー」セクションで、有効化するユーザーを検索して選択します。

2. 次のいずれかの方法でユーザーを有効化します。

- ツールバーにある「有効化」をクリックします。

- 「アクション」メニューから「有効化」を選択します。

- 有効化するユーザー・レコードのユーザー・ログインをクリックします。「ユーザーの詳細」ページで、ツールバーにある「ユーザーの有効化」をクリックします。

3. 「ターゲット・ユーザー」セクションで、プラス・アイコン(+)をクリックしてターゲット・ユーザーを検索し、有効化するユーザーのリストに追加します。また、各ユーザーの「ユーザーの詳細」リンクをクリックすると、ユーザーの詳細を表示できます。

4. 必要に応じて、「理由」および「有効日」セクションで、選択したユーザーを有効化する理由および有効日を指定します。「送信」をクリックします。ユーザーが正常に有効化されたことを示すメッセージが表示されます。

11.4.7 ユーザーの削除

ユーザーを削除するには、次のようにします。

1. 「管理」の下の「ユーザー」セクションで、削除するユーザーを検索して選択します。

2. 次のいずれかの方法でユーザーを削除します。

- ツールバーにある「削除」をクリックします。

- 「アクション」メニューから「削除」を選択します。

- 削除するユーザー・レコードのユーザー・ログインをクリックします。「ユーザーの詳細」ページで、ツールバーにある「ユーザーの削除」をクリックします。

3. 選択したユーザーが「ターゲット・ユーザー」セクションに表示されることを確認します。

4. 必要な場合、「ターゲット・ユーザー」セクションで、プラス・アイコン(+)をクリックしてターゲット・ユーザーを検索し、削除するユーザーのリストに追加します。また、各ユーザーの「ユーザーの詳細」リンクをクリックすると、ユーザーの詳細を表示できます。

5. 「理由」フィールドに、ユーザーを削除する理由を入力します。

6. 「有効日」フィールドで、ユーザーのアカウントを削除する日を指定します。

7. 「送信」をクリックします。ユーザーを削除する承認を条件とするリクエストが作成されます。

11.4.8 アカウントのロック

ユーザーのアカウントをロックする手順は、次のとおりです。

1. 「管理」の下の「ユーザー」セクションで、ロックするユーザーを検索して選択します。

2. 次のいずれかの方法でユーザーをロックします。

- ツールバーにある「アカウントのロック」をクリックします。

- 「アクション」メニューから「アカウントのロック」を選択します。

- ロックするユーザー・レコードのユーザー・ログインをクリックします。「ユーザーの詳細」ページで、ツールバーにある「アカウントのロック」をクリックします。

3. 表示される確認メッセージで、「ロック」をクリックします。選択したユーザーのアカウントがロックされます。

11.4.9 アカウントのロック解除

ユーザーのアカウントをロック解除する手順は、次のとおりです。

1. 「管理」の下の「ユーザー」セクションで、ロック解除するユーザーを検索して選択します。

2. 次のいずれかの方法でユーザーをロック解除します。

- ツールバーにある「アカウントのロック解除」をクリックします。

- 「アクション」メニューから「アカウントのロック解除」を選択します。

- ロック解除するユーザー・レコードのユーザー・ログインをクリックします。「ユーザーの詳細」ページで、ツールバーにある「アカウントのロック解除」をクリックします。

3. 表示される確認メッセージで、「ロック解除」をクリックします。選択したユーザーのアカウントがロック解除されます。

11.5 ユーザー名の予約

ユーザー作成に対するリクエストの送信時には、次のようなシナリオが考えられます。

- リクエストが保留中の間に、同じユーザー名で別のユーザー作成リクエストが送信されました。2番目のリクエストが承認されてユーザーが作成されると、1番目のリクエストは、ユーザー名がすでにOracle Identity Managerに存在するため、承認時に失敗します。

- リクエストが保留中の間に、同じユーザー名の別のユーザーがLDAPアイデンティティ・ストアに直接作成されました。ユーザー作成リクエストが承認され、ユーザー・エンティティをLDAPにプロビジョニングするときに、同じユーザー名のエントリがすでにLDAPに存在するため、リクエストは失敗します。

これらの問題を回避するには、ユーザー作成リクエストが承認のために保留中の間、Oracle Identity ManagerとLDAPの両方でユーザー名を予約できます。同じユーザー名のユーザーを作成するリクエストが作成されると、エラー・メッセージが表示され、そのユーザー作成リクエストは作成されません。

関連項目:

ユーザーを作成する作成リクエストについては、「リクエストの作成」を参照してください。

ユーザー名を予約するには、次のことが必要です。

- 「ユーザー属性予約有効」システム・プロパティを「True」に設定して、機能を有効化する必要があります。システム・プロパティの検索と変更については、Oracle Fusion Middleware Oracle Identity Manager管理者ガイドのシステム・プロパティの管理に関する説明を参照してください。

- LDAPで予約が行われるのは、予約機能が有効化され、LDAPがOracle Identity Managerデータベースと同期化している場合のみです。Oracle identity ManagerとLDAPアイデンティティ・ストア間の同期の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のLDAPアイデンティティ・ストアとOracle Identity Manager間の統合に関する説明を参照してください。

注意:

- LDAPプロバイダが構成されていない場合、予約はOracle Identity Managerでのみ行われます。

- LDAPの同期化およびユーザー属性の予約機能が有効な場合は、ディレクトリ・サーバーでUID一意性を有効化することをお薦めします。そうしないと、ユーザーが予約コンテナに予約されているときに、同じユーザーIDのユーザーをユーザー・コンテナに作成できるため、ディレクトリ内でユーザーの予約が適切に機能しません。この結果、Oracle Identity Managerでユーザーを予約コンテナからユーザー・コンテナに移動するときに、ユーザー作成が失敗します。

ユーザー属性の予約が有効な場合、予約は2つのフェーズで行われます。

最初のフェーズでは、エントリがOracle Identity Managerデータベースに作成され、ユーザーが予約コンテナに作成されます。Oracle Identity Managerデータベース内のこのエントリは、ユーザーが正常に作成された後、承認者によって却下された後、またはリクエストが失敗した後に削除されます。

2番目のフェーズでは、LDAPでユーザーが正常に作成されると、ユーザーが予約コンテナに移動します。他の状況(承認者による却下、リクエストの失敗など)の場合、ユーザーは予約コンテナから削除されます。

ユーザー作成リクエストがリクエスト・レベルおよび操作レベルで承認された後は、LDAPのユーザー名コンテナにユーザー名は予約されません。ユーザー名は、既存のユーザーが格納されているコンテナに移動します。また、ユーザーはOracle Identity Managerでも作成されます。

この項には、次の項目が含まれます。

- ユーザー名の予約の有効化と無効化

- ユーザー名ポリシーの構成

- カスタム・ユーザー名ポリシーの記述

- ユーザー名の解放

- Microsoft Active Directoryサポートのためのユーザー名生成の構成

11.5.1 ユーザー名の予約の有効化と無効化

Oracle Identity Managerでは、デフォルトで、ユーザー名の予約機能が有効化されます。これを行うには、「ユーザー属性予約有効」システム・プロパティの値を「True」に設定します。このシステム・プロパティの値は、Oracle Identity Managerシステム管理コンソールの「システム構成」セクションで確認できます。

ユーザー名の予約を無効化する手順は、次のとおりです。

1. Oracle Identity System Administrationにログインします。

2. 左ペインの「システム管理」の下で、「システム構成」をクリックします。新しいウィンドウに「拡張管理」が表示されます。

3. 左ペインで「検索」アイコンをクリックして、既存のすべてのシステム・プロパティを検索します。システム・プロパティのリストが検索結果表に表示されます。

4. 「ユーザー属性予約有効」をクリックします。図11-2に示すように、選択したシステム・プロパティの「システム・プロパティ詳細」ページが表示されます。

図11-2 「システム・プロパティ詳細」ページ

「図11-2 「システム・プロパティ詳細」ページ」の説明

5. 「値」フィールドに「False」と入力します。

6. 「保存」をクリックします。ユーザー名の予約機能が無効化されます。

11.5.2 ユーザー名ポリシーの構成

ユーザー名ポリシーは、ユーザー名操作(ユーザー名の生成や検証など)のためのプラグイン実装です。Oracle Identity System Administrationの「システム構成」セクションで、デフォルト・ポリシーを変更できます。

「ユーザーの作成」を使用する場合、プラグインが起動するのはユーザー・ログインが入力されない場合のみです。この場合、起動されるプラグインは、「ユーザー名の生成に関するデフォルト・ポリシー」システム・プロパティから取得されます。

表11-5に、Oracle Identity Managerで提供される事前定義済のユーザー名ポリシーを示します。この表で、生成されるユーザー名に含まれるドル記号($)はランダムなアルファベットを示します。

表11-5 事前定義済のユーザー名ポリシー

ポリシー名

必要な情報

生成されるユーザー名

oracle.iam.identity.usermgmt.impl.plugins.EmailIDPolicy

電子メール

電子メールの値は、自動生成されたユーザー名として使用されます。

oracle.iam.identity.usermgmt.impl.plugins.LastNameFirstInitialLocalePolicy

名、姓およびロケール

last name + first initial_locale、last name + middle initial + first initial_locale、last name + $ + first initial_locale(すべてのアルファベットからランダムな1文字)、last name + $$ + first initial_locale

oracle.iam.identity.usermgmt.impl.plugins.FirstInitialLastNameLocalePolicy

名、姓、ロケール

first initial + lastname_locale、first initial + middle initial + first name_locale、first initial + $ + lastname_locale、first initial + $$ + lastname_locale

oracle.iam.identity.usermgmt.impl.plugins.LastNameFirstInitialPolicy

名、姓

lastname+firstInitial、lastname+middleinitial+firstInitial、lastname+$+firstInitial(すべてのアルファベットからランダムな1文字)、lastname+$$+firstInitial

oracle.iam.identity.usermgmt.impl.plugins.FirstInitialLastNamePolicy

名、姓

firstInitial+lastname、firstInitial+middleInitial+firstname、firstInitial+$+lastname、firstInitial+$$+lastname

oracle.iam.identity.usermgmt.impl.plugins.LastNameFirstNamePolicy

名、姓

lastname.firstname、lastname.middleinitial.firstname、lastname.$.firstname(すべてのアルファベットからランダムな1文字)、lastname.$$.firstname

oracle.iam.identity.usermgmt.impl.plugins.FirstNameLastNamePolicy

名、姓

firstname.lastname、firstname.middleinitial.lastname、firstname.$.lastname(すべてのアルファベットからランダムな1文字)、firstname.$$.lastname

oracle.iam.identity.usermgmt.impl.plugins.DefaultComboPolicy

次のいずれか:

- 電子メール

- 名、姓

- 姓

電子メールを入力すると、ユーザー名は電子メールに基づいて生成されます。電子メールを使用できない場合は、名と姓に基づき、ユーザー・ドメインを付加してユーザー名が生成されます。名を使用できない場合は、姓のみに基づき、ユーザー・ドメインを付加してユーザー名が生成されます。

ユーザー・ドメインは「デフォルト・ユーザー名ドメイン」システム・プロパティとして構成され、デフォルト値は「@oracle.com」です。

oracle.iam.identity.usermgmt.impl.plugins.LastNamePolicy,

姓

lastname、middle initial + lastname、$ + lastname、$$ + lastname

oracle.iam.identity.usermgmt.impl.plugins.LastNameLocalePolicy

姓、ロケール

lastname_locale、middle initial + lastname_locale、$ + lastname_locale、$$ + lastname_locale

oracle.iam.identity.usermgmt.impl.plugins.FirstNameLastNamePolicyForAD

名、姓

firstname+lastname、firstnameの部分文字列+lastname+$、firstnameの部分文字列+lastnameの部分文字列+$

oracle.iam.identity.usermgmt.impl.plugins.LastNameFirstNamePolicyForAD

姓、名

lastname+firstname、lastname+firstnameの部分文字列+$、lastnameの部分文字列+firstnameの部分文字列+$

ポリシー実装によって、ユーザー名を生成してその可用性をチェックし、ユーザー名が使用できない場合は表11-5で説明した順序でポリシーに基づいて別のユーザー名を生成し、この手順を繰り返します。生成されるユーザー名に含まれるドル記号($)はランダムなアルファベットを示します。必要な情報が欠落している場合は、ポリシーでエラーが発生します。

ユーザー名生成形式のすべてのパラメータに対して値を入力する必要があります。入力されないパラメータがあると、Oracle Identity Managerでエラーが発生します。たとえば、firstname.lastnameポリシーが構成され、firstnameが入力されない場合は、次のエラーが表示されます: 「ユーザー名の生成中にエラーが発生しました。firstname.lastnameポリシーで必要なfirstnameを指定してください。」

ユーザー・マネージャでは、ユーザー名生成がパブリックAPIとして公開されています。Oracle Identity Managerでは、ユーザー名の生成機能にアクセスするためのユーティリティ・クラスが用意されています。ユーティリティ・メソッドが含まれるクラスを次に示します。

oracle.iam.identity.usermgmt.api.UserManager

UserManagerクラスでは、ユーザー名の生成および検証用に次のパブリックAPIが公開されます。

//Method that will generate username based on default policy

public String generateUserNameFromDefaultPolicy(Map<String,  Object> attrMap)
throws UserNameGenerationException,  UserManagerException;

//Method that will generate username based on policy

public String generateUserNameFromPolicy(String policyId,  Map<String, Object>
attrMap) throws UserNameGenerationException,  UserManagerException;

//Method that will check whether username is valid against default policy

public boolean isUserNameValidForDefaultPolicy(String userName,  Map<String,
Object> attrMap) throws UserManagerException;

//Method that will check whether username is valid against given policy

public boolean isUserNameValidForPolicy(String userName, String  policyId,
Map<String, Object> attrMap) throws  UserManagerException;

//Method to return all policies (including customer written)

public List<Map<String, String>> getAllUserNamePolicies(Locale locale)

//Method that will return policy description in given locale

public String getPolicyDescription(String policyID, Locale locale)

表11-6に、デフォルト・ユーザー名ポリシーのポリシーIDを表すためにUserManagerクラスに定義されている定数を示します。

表11-6 ポリシーIDを表す定数

ポリシー名

定数

EmailIDPolicy

EMAIL_ID_POLICY

LastNameFirstInitialLocalePolicy

FIRSTNAME_LASTNAME_POLICY

FirstInitialLastNameLocalePolicy

LASTNAME_FIRSTNAME_POLICY

LastNameFirstInitialPolicy

FIRSTINITIAL_LASTNAME_POLICY

FirstInitialLastNamePolicy

LASTNAME_FIRSTINITIAL_POLICY

LastNameFirstNamePolicy

FIRSTINITIAL_LASTNAME_LOCALE_POLICY

FirstNameLastNamePolicy

LASTNAME_FIRSTINITIAL_LOCALE_POLICY

DefaultComboPolicy

DEFAULT_COMBO_POLICY

LastNamePolicy

LASTNAME_POLICY

LastNameLocalePolicy

LASTNAME_LOCALE_POLICY

FirstNameLastNamePolicyForAD

FIRSTNAME_LASTNAME_POLICY_FOR_AD

LastNameFirstNamePolicyForAD

LASTNAME_FIRSTNAME_POLICY_FOR_AD

ポリシー・クラスでは、コールされてユーザー名を生成するときに、「oracle.iam.identity.utils class.Constants」で定義されたキー定数を使用して、マップに属性値が設定されている必要があります。これは、パラメータに対して定義された適切な定数(たとえば、「FirstName」パラメータに対して定義された定数)を使用して、正しいパラメータ値が渡されてメソッドがコールされる必要があることを意味します。

デフォルト・ユーザー名ポリシーは、Oracle Identity System Administrationを使用して構成できます。手順は次のとおりです。

1. 「システム構成」にナビゲートします。

2. すべてのシステム・プロパティを検索します。

3. 「ユーザー名の生成に関するデフォルト・ポリシー」をクリックします。図11-3に示すように、選択したプロパティの「システム・プロパティ詳細」ページが表示されます。

図11-3 デフォルト・ユーザー名ポリシーの構成

「図11-3 デフォルト・ユーザー名ポリシーの構成」の説明

デフォルト・ポリシー実装を取得するために、「XL.DefaultUserNameImpl」システム・プロパティが入力されています。これは、デフォルトでは、「値」フィールドに表示されているデフォルト・ユーザー名ポリシーの「oracle.iam.identity.usermgmt.impl.plugins.DefaultComboPolicy」をポイントします。

4. 「値」フィールドに、「oracle.iam.identity.usermgmt.impl.plugins.POLICY」と入力します。ここで、POLICYはいずれかのポリシー実装です。

注意:

すべてのプラグインは、/identity/metadata/plugin.xmlファイルを使用してOracle Identity Managerに登録される必要があります。サンプルのplugin.xmlファイルを次に示します。

<plugins pluginpoint="oracle.iam.identity.usermgmt.api.UserNamePolicy">        <plugin
pluginclass="oracle.iam.identity.usermgmt.impl.plugins.LastNameFirstNamePolicy"
version="1.0" name="LastNameFirstNamePolicy"/>
</plugins>

5. 「保存」をクリックします。

11.5.3 カスタム・ユーザー名ポリシーの記述

独自のポリシーを記述するには、Oracle Identity System Administrationの「システム構成」セクションで、新規プラグインを追加してデフォルト・ポリシーを変更します。

関連項目:

プラグイン・フレームワークについては、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のプラグインの開発に関する項を参照してください。

UserManagerでは、ユーザー名操作用にAPIが公開されます。APIでは、ユーザー・データを入力として取得し、生成されたユーザー名を返します。APIでは、ユーザー名を返すプラグインをコールします。これによって、ユーザー名操作の実装で、デフォルト・ポリシーをカスタム・プラグインに置換できます。

注意:

- UserManagerでは、ユーザー名の生成および検証用にパブリックAPIが公開されます。

- ポリシーを作成するときは、ユーザー名の生成で使用する属性がリクエスト・データセットに定義されていることを確認してください。リクエスト・データ・セットの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』を参照してください。

次に示すように、プラグイン・インタフェースを実装して、独自のユーザー名ポリシーを記述できます。

package oracle.iam.identity.usermgmt.api;

public interface UserNameGenerationPolicy extends
oracle.iam.identity.usermgmt.api.UserNamePolicy {
public String getUserName(Map<String, Object> reqData) throws UserNameGenerationException;
public boolean isGivenUserNameValid(String userName, Map<String, Object> reqData);

//methods inherited from old user name policy interface
//oracle.iam.identity.usermgmt.api.UserNamePolicy
public String getUserNameFromPolicy(HashMap<String, String> reqData) throws UserNameGenerationException;
public boolean isUserNameValid(String userName, HashMap<String, String> reqData);
public String getDescription(Locale locale);

}

このプラグイン・ポイントは、リクエスト・データを入力として取得し、ユーザー名を返すカーネル・プラグインとして公開されます。各プラグインでは情報の入力が必要で、入力された情報に基づいてユーザー名が生成されます。

注意:

Oracle Identity Managerでは、oracle.iam.identity.usermgmt.api.AbstractUserNameGenerationPolicyクラス名としてoracle.iam.identity.usermgmt.api.UserNameGenerationPolicyインタフェースの抽象実装を提供します。したがって、次の2つのメソッドを実装する必要はありません。

public String getUserNameFromPolicy(HashMap<String, String> reqData) throws UserNameGenerationException;

public boolean isUserNameValid(String userName, HashMap<String, String> reqData);

すべてのプラグインは、/identity/metadata/plugin.xmlファイルを使用してOracle Identity Managerに登録される必要があります。サンプルのplugin.xmlファイルを次に示します。

<plugins pluginpoint="oracle.iam.identity.usermgmt.api.UserNamePolicy">
<pluginpluginclass="oracle.iam.identity.usermgmt.impl.plugins.CustomDepartmentNumberEmployeeNumberPolicy "
version="1.0" name="CustomDepartmentNumberEmployeeNumberPolicy"/>
</plugins>

カスタム・ユーザー名ポリシーの記述についてのガイドラインを次に示します。

- ポリシーには、新しいインタフェースoracle.iam.identity.usermgmt.api.UserNameGenerationPolicyを実装する必要があります。

- カスタム・ユーザー名ポリシーを再度読み込む必要があります。つまり、承認者がユーザー・ログインの生成に影響を与えない属性を更新した場合は、ポリシー内のカスタム・コードは、同じユーザー・ログインを返す必要があります。

サンプルの実装については次を参照してください。

package oracle.iam.identity.usermgmt.impl.plugins;

import java.util.Locale;
import java.util.Map;

import oracle.iam.identity.exception.UserNameGenerationException;
import oracle.iam.identity.usermgmt.api.AbstractUserNameGenerationPolicy;
import oracle.iam.identity.usermgmt.api.UserManagerConstants;
import oracle.iam.identity.usermgmt.api.UserNameGenerationPolicy;

public class CustomDepartmentNumberEmployeeNumberPolicy extends AbstractUserNameGenerationPolicy implements UserNameGenerationPolicy {

private String departmentNumberKey = UserManagerConstants.AttributeName.DEPARTMENT_NUMBER.getId();

private String employeeNumberKey = UserManagerConstants.AttributeName.EMPLOYEE_NUMBER.getId();

@Override
public String getUserName(Map<String, Object> reqData)
throws UserNameGenerationException {

String departmentnumber = reqData.get(departmentNumberKey) == null ? null : reqData.get(departmentNumberKey).toString();

String employeeNumber = reqData.get(employeeNumberKey) == null ? null : reqData.get(employeeNumberKey).toString();

// Required in case of approver edit. If approver has not modified any attribute which contributes in user name generation , then return same old user login

//Check if user data is not changed using checkForSameUserLogin method present in AbstractUserNameGenerationPolicy, then return same user login

//OR use Map<String, Object> existingData = (Map<String, Object>) reqData.get(oracle.iam.identity.usermgmt.api.UserManagerConstants.EXISTING_DATA ) to implement your own comparison logic

// If existingData is NULL, it means generate a new user login. If it is not NULL, then it means policy is invoked during approver edit.

// If it is NOT NULL, Compare value of participating attributes from existingData and reqData. If same, return same user login as present in existingData ; otherwise generate a new user login.

String oldUserLogin = checkForSameUserLogin(reqData , new String[]{departmentNumberKey , employeeNumberKey});
if(oldUserLogin!=null)
return oldUserLogin;

// TODO: DO basic validations. Also, Ensure newly generated user name is unique and not reserved. You may use utility methods in oracle.iam.identity.usermgmt.utils.UserNamePolicyUtil for preforming validations.
return departmentnumber + "-" + employeeNumber;
}

@Override
public boolean isGivenUserNameValid(String userName, Map<String, Object> reqData) {
// TODO : custom implementation
return true;
}

@Override
public String getDescription(Locale locale) {
return "User Name Generation Policy using department number and employee number";
}

}

11.5.4 ユーザー名の解放

ユーザー名は、次のシナリオで解放されます。

- リクエストが承認され、ユーザーがOracle Identity Managerで正常に作成されてLDAPにプロビジョニングされると、予約表からユーザー名が削除されます。予約されていたユーザー名は、承認後にユーザーが正常に作成されると削除されます。LDAPで予約されていたエントリは削除され、実際のユーザーが作成されます。

- リクエストが却下されると、LDAPおよびOracle Identity Managerで予約されていたユーザー名のエントリは削除されます。

- Oracle Identity ManagerまたはLDAPでユーザーを作成中または作成前にリクエストが失敗すると、予約されていたユーザー名は削除されます。

11.5.5 Microsoft Active Directoryサポートのためのユーザー名生成の構成

LDAPとの同期が有効化されたOracle Identity Managerデプロイメントで、Microsoft Active Directory(AD)がデータ・ストアの場合、Oracle Identity Managerの「ユーザー・ログイン」属性はLDAPの「uid」属性にマップされ、さらに、その「uid」属性は「sAMAccountName」属性にマップされます。「sAMAccountName」属性は、ADベースのすべてのアプリケーションでログインとして使用されます。ADでは、「sAMAccountName」属性に格納される値に対してサポートされている最大長に制限があります。これは、20文字を超えることはできません。

Oracle Identity Managerでは、ユーザー作成時にユーザー名を入力として受け取り、ユーザー名が20文字を超えることも可能です。ADでは20文字を超えるユーザー名がサポートされていないため、Oracle Identity Managerでは、20文字以下のユーザー名が生成されるように構成できます。

ADがデータ・ストアとして使用されている場合は、「XL.DefaultUserNamePolicyImpl」システム・プロパティの値を次のいずれかに設定して、ユーザー名の自動生成を構成できます。

- FirstNameLastNamePolicyForAD: 名の部分文字列を姓の部分文字列の接頭辞として付加することによって、ユーザー・ログインを生成します。

- LastNameFirstNamePolicyForAD: 姓の部分文字列を名の部分文字列の接頭辞として付加することによって、ユーザー・ログインを生成します。

「XL.DefaultUserNamePolicyImpl」システム・プロパティ、およびシステム・プロパティの値の設定については、システム・プロパティの管理に関する項を参照してください。

注意:

ADがデータ・ストアの場合は、「FirstNameLastNamePolicyForAD」または「LastNameFirstNamePolicyForAD」のいずれかのポリシーを使用する必要があります。その他のユーザー名生成ポリシーを使用してユーザー名を生成しようとしても失敗します。

11.6 共通名の生成

Oracle Identity Managerでの「共通名」ユーザー属性値の生成については、次の各項で説明します。

- ユーザー作成操作での共通名の生成

- ユーザー変更操作での共通名の生成

11.6.1 ユーザー作成操作での共通名の生成

Oracle Identity ManagerのLDAP対応デプロイメントでは、Human Capability Management(HCM)などのFusionアプリケーションはSPMLリクエストを介して共通名を渡しません。LDAPで共通名が必須属性で、Oracle Identity Managerが共通名をRDNとして使用するように設定されている場合、Oracle Identity Managerでは一意の共通名を生成する必要があります。

共通名の説明に基づいて、名と姓で構成されるユーザーの表示名が共通名になります。この場合、Oracle Identity Managerでは、「firstname lastname」形式で共通名を指定する共通名生成ポリシーを使用して、共通名が生成されます。

Oracle Identity Managerで共通名の生成を構成するには、「XL.DefaultCommonNamePolicyImpl」システム・プロパティの値をoracle.iam.identity.usermgmt.impl.plugins.FirstNameLastNamePolicyに設定します。「XL.DefaultCommonNamePolicyImpl」システム・プロパティおよびシステム・プロパティの値の設定の詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のシステム・プロパティの管理に関する説明を参照してください。

「FirstNameLastNamePolicy」の詳細は次のとおりです。

- 必要な情報: 名、姓

- 生成される共通名: firstname.lastname、firstname.$.lastname(すべてのアルファベットからランダムな1文字)、firstname.$$.lastnameなど、共通名が一意になるように生成されます。

注意:

リクエストによってユーザーが作成されるまで共通名は予約されるため、同じ名と姓を使用した複数のリクエストが同時に生成された場合でも、同じ共通名は生成されません。

11.6.2 ユーザー変更操作での共通名の生成

ユーザー・プロファイルが変更されると、1つ以上の属性が変更される可能性があります。HCMでは、変更前のユーザー属性を保持しておらず、どの属性が変更されたかを判断できないため、変更されたデータのみをフィルタ処理してOracle Identity Managerに送信できません。このため、共通名(CN)を含むすべての属性がSPMLリクエストを介してOracle Identity Managerに渡されます。CNが変更されると、Oracle Identity Managerではディレクトリ内で変更操作(modrdn)が実行されるため、DNが変更される結果になります。この意図しないDN変更によって、グループ・メンバーシップのDNが失効し、ユーザーはそのグループのメンバーシップを失います。この結果、認可が失敗します。これは、LDAPサーバーで参照整合性がオフの場合に発生し、ユーザーのRDNが変更されたときに参照先グループが更新されません。したがって、ターゲットLDAPサーバーで参照整合性をオンにする必要があります。そうしないと、グループ・メンバーシップが失効します。参照整合性の問題はロールにも該当します。グループが他のグループのメンバーでもある場合、RDNの変更は同様に影響を与えます。

参照整合性をオンにするには、「XL.IsReferentialIntegrityEnabled」システム・プロパティの値を「TRUE」に設定します。システム・プロパティの詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のシステム・プロパティの管理に関する説明を参照してください。

表11-7に、RDNが変更される場合のシナリオを示します。

表11-7 RDN変更のシナリオ

LDAPでの参照整合性

XL.IsReferentialIntegrityEnabled

変更操作(modrdn)の結果

無効

FALSE

Oracle Identity Managerでエラーが発生し、操作は失敗します。

無効

TRUE

Oracle Identity Managerからの変更操作が正常に実行され、LDAPでRDNが変更されます。ただし、グループ参照は更新されずに失効します。この構成はお薦めしません。

有効

FALSE

Oracle Identity Managerでエラーが発生し、変更操作は失敗します。LDAPで参照整合性が有効であるため、Oracle Identity Managerでこのプロパティを「TRUE」に設定する必要があります。

有効

TRUE

変更操作が正常に実行され、RDNが更新されます。さらに、LDAPでDNの参照が更新されます。

各ディレクトリにロールおよびユーザーが格納された複数のディレクトリ。

ここでは参照整合性プロパティは関係ありません。

FALSE

Oracle Identity Managerからの変更操作が失敗します。これはLDAPでサポートされていません。このため、Oracle Identity Managerでは、このプロパティの値を「FALSE」に設定することをお薦めします。

各ディレクトリにロールおよびユーザーが格納された複数のディレクトリ。

ここでは参照整合性プロパティは関係ありません。

TRUE

変更操作が正常に実行され、RDNが変更されます。ただし、LDAPでは複数のディレクトリでの参照整合性をサポートしていないため、グループ参照は失効し、手動で更新する必要があります。

12 ロールの管理

ロールを使用して、アクセス権、ロールまたは権限などの共通機能にアクセスできるユーザーの集合のレコードを作成および管理します。

ロールは、組織に依存しないロール、複数の組織にわたるロール、または1つの組織のユーザーのみが含まれたロールのいずれかです。

ロールを使用すると、次の操作が可能です。

- ロールにユーザーを割り当てます。

- 親ロールとしてロールを既存のロールに割り当てます。

- ロールのプロビジョニング・ポリシーを指定します。これらのポリシーは、ロールのメンバーに対して、あるリソース・オブジェクトをプロビジョニングするか、リクエストによりプロビジョニングするかを決定します。

- ロールに対して、メンバーシップ・ルールを追加または削除します。これらのルールは、ロールに対して、どのユーザーを直接メンバーシップとして割り当てたり削除できるかを決定します。

- ロールを介してユーザーをアクセス・ポリシーにマップして、ユーザーへのターゲット・システムのプロビジョニングを自動化します。詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のアクセス・ポリシーの管理に関する説明を参照してください。

- 組織へのロールの公開または公開解除

- ユーザーがOracle Identity Manager管理のWebインタフェースを使用してアクセスできるメニュー項目を表示します。

この章では、ロールおよびロールに関連する機能について次の各項で説明します。

- ロール・メンバーシップの継承

- ロール権限の継承

- ロール・エンティティ定義

- デフォルト・ロール

- ロール管理タスク

- リクエスト・ベースのロールの付与

12.1 ロール・メンバーシップの継承

メンバーシップの継承とは、継承元ロールから継承先ロールにメンバーを継承することを意味します。次に例を示します。

注意:

メンバーシップを継承するロールは、メンバー継承先ロールと呼ばれます。メンバー継承先ロールがメンバーシップを継承するロールは、継承元メンバー・ロールと呼ばれます。

- ロールBはロールAからメンバーシップを継承します。ロールBはロールAのメンバー継承先ロールです。

- ロールCもロールAからメンバーシップを継承します。ロールCもロールAのメンバー継承先ロールです。

この例の場合、ロールAの全メンバーはロールBおよびロールCの暗黙的、つまり間接的なメンバーでもありますが、ロールBのメンバーはロールAのメンバーに自動的にはなりません。つまり、ロールBおよびロールCは、ロールAのメンバー継承先ロールであり、ロールAは、ロールBおよびロールCの継承元メンバー・ロールです。実際の例では、従業員ロール(ロールB)はマネージャ・ロール(ロールA)からメンバーシップを継承します。

ロール・メンバーシップの継承について、次のシナリオを使用して説明します。

- マネージャのリストにCEOロールが含まれるように、CEOロールはマネージャ・ロールの継承元メンバー・ロールです。

- マネージャ・ロールは従業員ロールの継承元メンバー・ロールです。

- ソフトウェア・アーキテクト・ロールはソフトウェア・エンジニア・ロールの継承元メンバー・ロールです。

- ソフトウェア・エンジニア・ロールは従業員ロールの継承元メンバー・ロールです。

- 従業員ロールには、マネージャ・ロールおよびソフトウェア・エンジニア・ロールの2つの継承元メンバー・ロールがあります。

図12-1に、この例に示す親ロールと子ロール、およびメンバーシップの継承を示します。

図12-1 ロール・メンバーシップおよびロール権限の継承

「図12-1 ロール・メンバーシップおよびロール権限の継承」の説明

継承元メンバー・ロールの各ユーザーは、自動的にすべてのメンバー継承先ロールのメンバーとなります。そのメンバー継承先ロールが別の継承元メンバー・ロールでもある場合、ユーザーはそのメンバー継承先ロールに追加され、以降同様に追加されていきます。これは、継承チェーン内でメンバー継承先ロールがなくなるまで続行されます。たとえば、CEOはマネージャであり、マネージャ・ロールのメンバーに自動的になります。同様に、マネージャは自動的に従業員になります。このようにして、継承元メンバー・ロールに追加されたメンバーは、そのメンバー継承先ロールによって継承されていきます。したがって、従業員ロールの直接メンバーシップは存在せず、メンバーシップの継承関係から考えると、従業員ロールは他のすべてのロールよりメンバーが多くなります。

ユーザーは、次のいずれかの方法でロールのメンバーになることができます。

- 継承元メンバー・ロールからメンバーが継承されます(間接メンバーシップと呼ばれます)。

- ユーザーは(メンバーシップ・ルールを使用して)ロールに直接割り当てられます(直接メンバーシップと呼ばれます)。

同様に、間接メンバーを直接メンバーとして割り当てることができます。ロールでユーザーの直接メンバーシップが失効しても、継承によってユーザーは依然としてロールのメンバーです。

12.2 ロール権限の継承

権限の継承とは、継承元ロールから継承先ロールに権限を継承することを意味します。次に例を示します。

- ロールBはロールAから権限を継承します。

- ロールCもロールAから権限を継承します。

この例では、ロールBおよびロールCは、ロールAの権限継承先ロールです。「階層」タブでは、この関係は子で示されます(ロールBおよびロールCはロールAの子です)。同様に、ロールAは、ロールBおよびロールCの継承元権限ロールです。「階層」タブでは、ロールAは、ロールBおよびロールCの親です。

実際の例では、マネージャ・ロールは従業員ロールから権限を継承します。

Oracle Identity Self Serviceでは、「階層」タブの次の各セクションにロール権限の継承が表示されます。

関連項目:

「階層」タブの詳細は、「「階層」タブ」を参照してください。

- 継承元: 開いているロールが継承される親ロールが表示されます。基本ロールが持つメンバーに対する権限および特権は、継承されたロールと同じです。基本ロールからは継承されたロールのみを追加または削除できますが、継承されたロールからは基本ロールを追加または削除することはできません。

- 継承先: 開いているロールから継承された子ロールがリストされます。ここには、ロールが読取り専用で表示されます。「ロールを開く」アクションを使用して、基本ロールからの関係を変更できます。

たとえば、role1、role2およびrole3の3つのロールを作成するとします。role3を開き、role2を親ロールとして割り当てます。同様に、role2を開き、role1を親ロールとして割り当てます。role3を開くと、「継承元」セクションにはrole2親ロールが表示され、role1がrole2の下に表示されます。role1を開くと、「継承先」セクションにはrole2子ロールが表示され、role3がrole2の下に表示されます。

図12-1に示すように、従業員の権限はマネージャの権限に含まれます。同様に、マネージャの権限はCEOの権限に含まれます。このように、権限は上位の方向に継承されます。さらに、親ロールは複数の子ロールから権限を継承します。たとえば、CEOはマネージャ・ロールとソフトウェア・アーキテクト・ロールの権限を継承します。したがって、メンバーシップの継承と権限の継承は反対の方向に進められます。

12.3 ロール・エンティティ定義

Oracle Identity Managerでは、ロール・エンティティに対して属性が定義されます。これらの属性は、すべてのエンティティ(ユーザー、組織、ロール、ロール階層、ロール・メンバーシップなど)で同じです。エンティティに対して定義される属性のリストは、「ユーザー・エンティティ定義」を参照してください。

注意:

ロール・エンティティには独自の属性を追加できません。

この項では、次のエンティティのデフォルト属性定義について説明します。

- ロール・エンティティ

- ロール・カテゴリ・エンティティ

- ロール付与関係

- ロール親関係

- ロール組織関係

12.3.1 ロール・エンティティ

Role.xmlファイルには、ロール・エンティティの属性定義が格納されています。ロール・エンティティには独自の属性を追加できます。

ロールに関連付けられたエンティティの属性は、ロールの詳細を取得する際にロールAPIを使用して取得できます。これにより、追加のAPIコールのコストを発生させずに結合されたエンティティを取得できます。これらの属性の例は、Role.xmlにデフォルトで構成されています。'foreign_search_'で始まる名前のパラメータで、属性'Role Category Name'、'Owner First Name'、'Owner Last Name'、'Owner Display Name'、'Owner Email'および'Owner Loginをまとめて取得できます。

ロール・エンティティの定義には、エンティティ・キー(ロール・カテゴリ・キーおよびユーザー・キー)が含まれており、これによってこれらの追加属性を指定できます。

表12-1に、ロール・エンティティのデフォルト属性を示します。

表12-1 ロール・エンティティのデフォルト属性

属性名

カテゴリ

タイプ

データ型

プロパティ

LOV

ロール・キー

基本

単一

数値

必須: はい

システムによるデフォルト設定が可能: はい

システム制御: はい

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

該当なし

ロール一意名

基本

単一

テキスト

必須: はい

システムによるデフォルト設定が可能: はい

システム制御: はい

暗号化: クリア

ユーザー検索可能: いいえ

バルク更新可能: いいえ

該当なし

ロール表示名

基本

単一

テキスト(多言語)

必須: はい

システムによるデフォルト設定が可能: はい

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

該当なし

ロール・ネームスペース

基本

単一

テキスト

必須: はい

システムによるデフォルト設定が可能: はい

システム制御: はい

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

該当なし

ロール名

基本

単一

テキスト(多言語)

必須: はい

システムによるデフォルト設定が可能: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

該当なし

ロールの説明

基本

単一

テキスト(多言語)

必須: はい

システムによるデフォルト設定が可能: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

該当なし

LDAP GUID

LDAP

単一

テキスト

必須: はい

システムによるデフォルト設定が可能: いいえ

システム制御: はい

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

該当なし

LDAP DN

LDAP

単一

テキスト

必須: はい

システムによるデフォルト設定が可能: いいえ

システム制御: はい

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

該当なし

ロール・カテゴリ・キー

基本

単一

ロール・カテゴリへの参照

必須: はい

システムによるデフォルト設定が可能: はい

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: はい

該当なし

ロール所有者キー

基本

単一

ロール所有者への参照

必須: はい

システムによるデフォルト設定が可能: はい

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: はい

該当なし

ロールの電子メール

基本

単一

テキスト

必須: はい

システムによるデフォルト設定が可能: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

該当なし

12.3.2 ロール・カテゴリ・エンティティ

RoleCategory.xmlファイルには、ロール・カテゴリ・エンティティの属性定義が格納されています。ロール・カテゴリ・エンティティには独自の属性を追加できません。

表12-2に、ロール・カテゴリ・エンティティのデフォルト属性を示します。

表12-2 ロール・カテゴリ・エンティティのデフォルト属性

属性名

カテゴリ

タイプ

データ型

プロパティ

LOV

ロール・カテゴリ・キー

基本

単一

テキスト

必須: はい

システムによるデフォルト設定が可能: はい

システム制御: はい

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

該当なし

ロール・カテゴリ名

基本

単一

テキスト

必須: はい

システムによるデフォルト設定が可能: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

該当なし

ロール・カテゴリの説明

基本

単一

テキスト

必須: はい

システムによるデフォルト設定が可能: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

該当なし

12.3.3 ロール付与関係

RoleRoleRelationship.xmlファイルには、ロール付与関係の属性定義が格納されています。ロール付与関係には独自の属性を追加できません。

表12-3に、ロール付与関係のデフォルト属性を示します。

表12-3 ロール付与関係のデフォルト属性

属性名

カテゴリ

タイプ

データ型

プロパティ

LOV

UGP_KEY

基本

単一

ロールへの参照

必須: はい

システムによるデフォルト設定が可能: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

該当なし

USR_KEY

基本

単一

ユーザーへの参照

必須: はい

システムによるデフォルト設定が可能: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

該当なし

12.3.4 ロール親関係

RoleUserMembership.xmlファイルには、ロール親関係の属性定義が格納されています。ロール親関係には独自の属性を追加できません。

表12-4に、ロール親関係のデフォルト属性を示します。

表12-4 ロール親関係のデフォルト属性

属性名

カテゴリ

タイプ

データ型

プロパティ

LOV

UGP_KEY

基本

単一

ロールへの参照

必須: はい

システムによるデフォルト設定が可能: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

該当なし

GPG_UGP_KEY

基本

単一

ロールへの参照

必須: はい

システムによるデフォルト設定が可能: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

バルク更新可能: いいえ

該当なし

注意:

UGP_KEYは親ロールへの参照です。GPG_UGP_KEYは子ロールへの参照です。

12.3.5 ロール組織関係

ロール組織関係は、組織にロールを公開することで確立できます。詳細は、「組織へのエンティティの公開」を参照してください。

12.4 デフォルト・ロール

Oracle Identity Managerでは、次のタイプのロールを使用できます。

- エンタープライズ・ロール: ユーザー(付与された権限に従って)がOracle Identity Managerで作成し、リクエスト・カタログを使用してリクエストできるロールです。ロールの作成およびリクエストの詳細は、「ロール管理タスク」および「リクエスト・ベースのロールの付与」を参照してください。

- 管理ロール: Oracle Identity Managerに事前定義されているロールで、Oracle Entitlement Serverに定義されているアプリケーション・ロールに1対1でマッピングされます。管理ロールはユーザーに表示されません。したがって、管理ロールをリクエストすることはできません。管理ロールの詳細は、「管理ロール」を参照してください。

表12-5には、Oracle Identity Managerのデフォルト・エンタープライズ・ロールがリストされています。デフォルト管理ロールのリストについては、「管理ロール」を参照してください。

注意:

Oracle Identity Manager 11gリリース1 (11.1.1)からアップグレードする場合は、11gリリース1 (11.1.1)のデフォルト・ロールが使用可能になります。

表12-5 Oracle Identity Managerのデフォルト・ロール

ロール

説明

すべてのユーザー

このロールのメンバーは権限が最小ですが、自身のユーザー・レコードにアクセスできるなどの機能があります。デフォルトでは、各ユーザーはすべてのユーザー・ロールに所属します。

システム管理者

これは内部使用のみのロールで、OIMユーザー用に使用され、他のユーザーはUIでのみ表示できます。このロールのメンバーは、アテステーション・イベントを管理するための各種タスクを実行できるUIにアクセスできます。

管理者

これは内部使用のみのロールで、OIMユーザー用に使用され、他のユーザーはUIでのみ表示できます。これは、SOA用の管理者ロールです。

オペレータ

これは内部使用のみのロールで、OIMユーザー用に使用され、他のユーザーはUIでのみ表示できます。このロールのメンバーは、組織、ユーザーおよびタスク・リストに関連するページにアクセスできます。このロールのユーザーは、これらのページの一部の機能を実行できます。

セルフ・オペレータ

これは内部使用のみのロールで、OIMユーザー用に使用され、他のユーザーはUIでのみ表示できます。これにはXELSELFREGという1人のユーザーが含まれ、Oracle Identity Manager内で他のユーザーが自己登録アクションを実行するときに必要な権限の変更を担当します。

注意: Oracle Identity Managerでは、セルフ・オペレータ・ユーザー・ロールに関連付けられている権限を変更しないことをお薦めします。さらに、他のユーザーをこのロールに割り当てることはできません。

デフォルト・ロールに関連付けられた権限は変更できます。追加のロールを作成することもできます。ただし、すべてのロールに対して、メニュー項目を割り当てたり削除することはできません。

12.5 ロール管理タスク

このセクションのトピックは次のとおりです:

- ロールの作成

- ロールの管理

- ロール・カテゴリの作成と管理

注意:

セルフ・オペレータ・ロールは、デフォルトでOracle Identity Managerに追加されます。このロールにはXELSELFREGという1人のユーザーが含まれ、管理コンソールで自己登録を実行するためのユーザー権限の変更を担当します。

セルフ・オペレータ・ロールに関連付けられている権限を変更しないこと、およびこのロールにユーザーを割り当てないことをお薦めします。

12.5.1 ロールの作成

新規のロールを初めて作成する場合は、「ロールの詳細」ページにロール名が表示されます。「ロールの管理」の説明に従い、「追加詳細」メニューを使用してロールに情報を追加できます。

ロールを作成するには、次のようにします。

1. Identity Self Serviceにログインします。

2. 「管理」で、「ロール」をクリックします。「ロールの検索」ページが表示されます。

3. 「アクション」メニューから「作成」を選択します。または、ツールバーにある「作成」をクリックします。
ロールの作成ページが表示されます。

4. フィールドに値を入力します。表12-6に、「ロールの作成」ページのフィールドを示します。

表12-6 「ロールの作成」ページのフィールド

フィールド

説明

名前

ロールの名前

表示名

UIに表示されるロール名

ロールの電子メール

ロールの電子メールID

ロールの説明

ロールの説明

ロール・カテゴリ

ロールが属しているカテゴリ

このフィールドにロール・カテゴリが指定されていない場合、ロールは「デフォルト」カテゴリに作成されます。ロール・カテゴリについては、「ロール・カテゴリの作成と管理」を参照してください。

所有者

ロールの所有者

ロールの所有者とは、カスタム認可ポリシーを作成せずに、ロールを表示、変更および削除できる権限を持つユーザーです。ロール管理の認可ポリシーの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のセキュリティ・アーキテクチャに関する説明を参照してください。

5. 「保存」をクリックします。ロールは正常に作成されました。作成したロールの「ロールの詳細」ページが表示されます。

12.5.2 ロールの管理

ロールの検索、ロールへの情報の追加、およびロールに対するその他の管理機能を実行できます。

このセクションのトピックは次のとおりです:

- ロールの検索

- ロールの表示と管理

- アクセス・ポリシーの表示

- ロールの削除

12.5.2.1 ロールの検索

ロールを検索する手順は次のとおりです。

1. 「アイデンティティ・セルフ・サービス」で、「管理」の下の「ロール」をクリックします。「ロールの検索」ページが表示されます。

2. 次のいずれかを選択します。

- すべて: このオプションを選択すると、検索はAND条件で実行されます。つまり、指定されたすべての検索基準を満たす場合のみ検索操作が成功します。

- いずれか: このオプションを選択すると、検索はOR条件で実行されます。つまり、指定された選択基準のいずれかに一致する場合に検索操作が成功します。

3. 「表示名」などの検索可能なユーザー属性のフィールドで、値を指定します。属性値にはワイルドカード文字(*)を含めることができます。
一部の属性については、「参照」から属性値を選択します。たとえば、「デフォルト」のロール・カテゴリのロールをすべて検索するには、「ロール・カテゴリ」フィールドで「デフォルト」を選択します。

4. 指定した各属性値に対して、リストから検索演算子を選択します。次の検索演算子が使用可能です。

- 次で始まる

- 次で終わる

- 次と等しい

- 次と等しくない

- 次を含む

- 次を含まない

検索演算子とワイルドカード文字を組み合せて、検索条件を指定できます。アスタリスク(*)文字をワイルドカード文字として使用します。たとえば、検索基準として「表示名」属性の値に「Jo*」と指定して、検索演算子として「次と等しい」を選択できます。「Jo」で始まる表示名を持つロールが表示されます。

5. 検索可能なロール属性を「ロールの検索」ページに追加するには、「フィールドの追加」をクリックして、属性のリストから属性を選択します。
たとえば、ロール・ネームスペース内のすべてのロールを検索する場合は、「ロール・ネームスペース」属性を検索可能なフィールドとして追加して、検索条件を指定できます。

注意:

検索可能な属性を構成できます。検索に使用可能な属性は、「検索可能」プロパティが「はい」にマークされているロール・エンティティに対して定義した属性のサブセットである必要があります。

6. 必要に応じて、「リセット」をクリックし、指定した検索条件をリセットします。通常、この手順を実行すると、指定した検索条件を削除し、新しい検索条件を指定します。

7. 「検索」をクリックします。図に示すように、検索結果が表形式で表示されます。

8. 検索結果で列を非表示にする場合は、次の手順を実行します。

1. ツールバーで「ビュー」をクリックし、「列」、「列の管理」を選択します。「列の管理」ダイアログ・ボックスが表示されます。

2. 「表示される列」リストから、非表示にする列を選択します。

3. 左矢印アイコンをクリックして、列を「非表示列」リストに追加します。

4. 「OK」をクリックします。選択した列は検索結果に表示されません。現在非表示になっている列の数を示すステータス・メッセージが、検索表の下部に表示されます。図は、2つの列が非表示であることを示しています。

12.5.2.2 ロールの表示と管理

ロールの詳細を開き、ロールの属性を編集したり、ロールの継承やメンバーシップを変更して、ロールを組織に公開できます。ロールの詳細を開いて変更するには、次のいずれかを実行します。

- 「ロールの検索」ページで、開くロールを検索して選択します。「アクション」メニューから「開く」を選択します。または、ツールバーにある「開く」をクリックします。

- 「ロールの検索」ページの検索結果表で、ロールの「表示名」をクリックします。

新しいページにロールの詳細が表示されます。ページの上部にロールの表示名が表示されます。このページの次のタブで、ロールの詳細を表示し、ロール情報を変更できます。

- 「属性」タブ

- 「階層」タブ

- 「メンバー」タブ

- 「組織」タブ

12.5.2.2.1 「属性」タブ

「属性」タブでは、ロール属性が表示されます。「ロール・ネームスペース」(これは読取り専用フィールド)を除き、「属性」タブの残りのフィールドは「ロールの作成」ページの場合と同じように使用可能です。「ロール・ネームスペース」フィールドに、ロールが割り当てられているネームスペースが表示されます。「属性」タブの残りのフィールドについては、「表12-6 「ロールの作成」ページのフィールド」を参照してください。

ロール属性を変更するには、フィールドの値を変更して「適用」をクリックします。

12.5.2.2.2 「階層」タブ

「階層」タブでは、次のセクションにロール階層情報が表示されます。

- 継承元: このセクションには、開いているロールが継承される親ロールが表示されます。基本ロールが持つメンバーに対する権限および特権は、継承されたロールと同じです。基本ロールからは継承されたロールのみを追加または削除できますが、継承されたロールからは基本ロールを追加または削除することはできません。

- 継承先: このセクションには、開いているロールから継承された子ロールがリストされます。ここには、ロールが読取り専用で表示されます。「ロールを開く」アクションを使用して、基本ロールからの関係を変更できます。

「階層」タブでは、次の操作を実行できます。

- 子ロールへの親ロールの追加

- ロールからの親ロールの削除

- 親/子ロールを開く

12.5.2.2.3 子ロールへの親ロールの追加

子ロールに親ロールを追加する手順は、次のとおりです。

1. ロールを開きます。

2. 「階層」タブをクリックします。「継承元」セクションのこのタブには、開いているロールが権限を継承する親ロールがリストされます。

3. 「継承元」がアクティブであることを確認します。

4. 「アクション」メニューから「追加」を選択します。または、ツールバーにある「追加」をクリックします。「ロールの検索」ダイアログ・ボックスが表示されます。

5. 「検索」リストから、検索するロールに従ってロール属性を選択します。次に、参照アイコンを使用して属性を選択します。検索基準にはワイルドカード文字(*)を使用することもできます。次に、「検索」アイコンをクリックします。検索基準に一致するロールのリストが表示されます。

6. 親ロールとして追加するロールを1つ以上選択します。次に、選択したロールを「選択したロール」リストに移動するには、「選択した項目の追加」をクリックします。
または、「すべて追加」をクリックして、すべてのロールを「選択したロール」リストに追加します。

7. 「追加」をクリックします。開いているロールに選択したロールが親ロールとして追加され、ロール階層が「階層」タブの「継承元」セクションに表示されます。

8. 追加された継承元ロールを選択します。選択したロールのサマリー情報が表の下に表示されます。
継承元ロールの「表示名」をクリックすると、ロールの詳細が表示されます。

12.5.2.2.4 ロールからの親ロールの削除

ロールから親ロールを削除する手順は、次のとおりです。

1. 「階層」タブの「継承元」セクションで、削除するロールを選択します。

2. 「アクション」メニューで、「削除」を選択します。または、ツールバーにある「削除」をクリックします。確認を求めるメッセージ・ボックスが表示されます。

3. 「OK」をクリックします。「階層」タブの「継承元」セクションから、継承元ロールが削除されます。

12.5.2.2.5 親/子ロールを開く

「階層」タブの「継承元」セクションから親ロールを、「継承先」セクションから子ロールを開くことができます。

また、現在開いているロールの親ロールおよび子ロールにリンクしているロール(祖父母ロールおよび孫ロールと同様)を、それぞれ「階層」タブの「継承元」セクションおよび「継承先」セクションから開くことができます。

親ロールを開く手順は、次のとおりです。

1. 「階層」タブの「継承元」セクションで、開くロールを選択します。

2. 「アクション」メニューから「開く」を選択します。または、ツールバーにある「開く」をクリックします。
ページに継承元ロールに関する詳細が表示されます。このページで、ロールの属性の表示と編集、ロールの継承とメンバーシップの変更、メンバーシップ・ルール、アクセス・ポリシーおよび権限の割当てと削除、および権限の更新を行うことができます。

子ロールを開く手順は、次のとおりです。

1. 「階層」タブの「継承元」または「継承先」セクションで、開くロールを選択します。

2. 「アクション」メニューから「開く」を選択します。または、ツールバーにある「開く」をクリックします。ページに継承元ロールに関する詳細が表示されます。

12.5.2.2.6 「メンバー」タブ

「メンバー」タブには、開いているロールに割り当てられたメンバーが表示されます。この情報は、次の各セクションに表示されます。

- 直接: このセクションには、開いているロールに直接割り当てられたメンバーが表示されます。また、メンバーシップ・ルールを介して割り当てられたすべてのメンバーも表示されます。

- 間接: このセクションには、ロールによって間接的に継承されたメンバーが表示されます。

- すべて: このセクションには、開いているロールに割り当てられたすべてのメンバー(直接メンバーおよび間接メンバー)が表示されます。

「メンバー」タブでは、次の操作を実行できます。

- ロールへのメンバーの割当て

- ロールからのメンバーの失効

- メンバーシップ・ルールの追加、変更および削除

12.5.2.2.7 ロールへのメンバーの割当て

ロールにメンバーを割り当てる手順は、次のとおりです。

1. 「メンバー」タブの「直接」セクションで、ツールバーにある「割当て」をクリックします。「カタログ」ページが表示されます。

2. 「ターゲット・ユーザー」セクションで、「追加」をクリックしてロールに割り当てられるメンバー(ユーザー)を選択します。「ターゲット・ユーザーの拡張検索」ダイアログ・ボックスが表示されます。

3. 追加する1人以上のユーザーを検索して選択します。

4. 選択したユーザーを「選択したユーザー」リストに追加するには、「選択した項目の追加」をクリックします。または、「すべて追加」をクリックして、すべてのユーザーを「選択したユーザー」リストに追加します。

5. 「追加」をクリックします。選択したユーザーまたは受益者が、「カート詳細のリクエスト」ページの「ターゲット・ユーザー」セクションに追加されます。

6. 「理由」および「有効日」セクションで、理由とリクエストがアクティブになる有効日を各フィールドで指定します。

7. 必要に応じて、「カート項目」セクションでカート項目を選択し、「詳細」をクリックして項目の詳細を表示します。

8. 「詳細」セクションで、必要に応じて、リクエストの詳細を変更します。これを行うには、「詳細」セクションで値を設定または変更し、「送信準備ができています」をクリックします。

9. 詳細またはカートの各リクエストを確認および変更した後、「送信」をクリックします。
リクエストが承認のために送信され、「リクエスト・サマリー」ページが表示され、サマリー情報、ターゲット・ユーザーまたは受益者情報、およびリクエストと承認の詳細が表示されます。

12.5.2.2.8 ロールからのメンバーの失効

ロールからメンバーを失効する手順は、次のとおりです。

1. 「メンバー」タブのいずれかのセクションで、失効するメンバーを選択します。

2. ツールバーにある「失効」をクリックします。「ロールの削除」ページが表示されます。

3. 「ターゲット・ユーザー」セクションで、ロールから失効するメンバーを確認します。

4. 「理由」フィールドおよび「有効日」フィールドに値を入力します。

5. 「送信」をクリックします。ロールからのメンバーの失効に必要な認可ポリシーがある場合は、承認ステップなしでユーザーがロールから削除されます。必要な認可ポリシーがある場合は、リクエストが承認者によって承認されるとロールが失効されます。

12.5.2.2.9 メンバーシップ・ルールの追加、変更および削除

「メンバー」タブで、式ビルダーを使用してユーザー・メンバーシップ・ルールを追加、変更または削除できます。式ビルダーでは、ロールに動的に割り当てられているユーザーに基づいて条件を指定できます。複雑な条件式をユーザー・メンバーシップ・ルールとして単純に指定できます。ユーザー・メンバーシップ・ルールを変更すると、既存のユーザー・メンバーシップが評価され、有効ではない既存のロール・メンバーシップは失効されて新しいロール・メンバーシップが付与されます。

ユーザー・メンバーシップ・ルールを追加する手順は、次のとおりです。

1. 「メンバー」タブの「ユーザー・メンバーシップ・ルール」セクションで、「ルールの追加」をクリックします。「式ビルダー」が表示されます。

2. 左のペインで、「<追加>」が選択されていることを確認します。これは、条件に対するユーザー属性を指定するプレースホルダです。

3. 「オペランド値の選択」の下の「属性」タブで、「国」などのユーザー属性を選択します。

4. 「追加」をクリックして左ペインの条件に属性を追加します。

5. 演算子のリストから、= (次と等しい)、> (次より大きい)、>= (次以上)、< (次より小さい)、=> (次以下)および次に含まれるなどのコンパレータを選択します。

6. 「オペランド値の選択」の下の「リテラル」タブで、United States of Americaなどの値を「値」フィールに指定します。
メンバーシップ・ルールでチェック・ボックスまたは参照タイプUDFまたはデフォルト属性が使用される場合、次の例に示されているように処理する必要があります。

( ( ( Last Name = "Klein" ) AND ( First Name Contains "Robert" ) )
OR ( ( User Login Starts with "rob" ) AND ( Common Name Ends with "ein" ) )
OR ( ( Robert2UserUDF111DL != "Robert2UserUDF111DL" ) AND ( Robert2UserNumberDL >= 99999 )
AND ( RobertUserDateDL =< 2013-12-31 ) AND ( Robert2UserchkboxDL = "1" )
AND ( Robert2UserLookupDL IN ["RobertLookUpCode3","RobertLookUpCode9"] ) ) )

この場合、

- Robert2UserchkboxDLは、ルールでは文字列として使用する必要があるチェック・ボックスです。「True」/「はい」/「選択済」/「チェック済」をチェックする場合は、"1"を使用し、「False」/「いいえ」/「未選択」/「未チェック」をチェックする場合は"0"を使用します。

- Robert2UserLookupDLは、参照タイプです。デフォルトuserprofileでは、"Robert2LookUpMean3"が表示されます。式では、そのコード値"Robert2LookUpCode3"を使用する必要があります。

- すべてのタイプの属性について、NULLまたは値なしをチェックする方法はありません。

注意:

チェック・ボックス・フィールドは、バックエンドで文字列として保存されます。チェック・ボックス・フィールドのデータ型は文字列であって、ブールではありません。したがって、すべての文字列操作が表示されます。

7. 「追加」をクリックして、指定した値を条件式に追加します。つまり、式はUnited States of Americaに属するユーザーは開いているロールに動的に割り当てられることになります。
図12-2に、条件を使用した式ビルダーを示します。

図12-2 式ビルダー

「図12-2 式ビルダー」の説明

8. 必要な場合、「結果のプレビュー」タブで、このルールが適用されるメンバーをプレビューできます。

9. 「保存」をクリックします。「式ビルダー」が閉じて、定義したルールが適用されます。

ユーザー・メンバーシップ・ルールを変更する手順は、次のとおりです。

1. 「メンバー」タブの「ユーザー・メンバーシップ・ルール」セクションで、「ルールの編集」をクリックします。「式ビルダー」が表示されます。

2. メンバーシップ・ルールの追加のステップの説明に従って、条件を指定してメンバーを動的に割り当てます。

3. 必要な場合、「結果のプレビュー」タブで、変更したルールが適用されるメンバーをプレビューできます。

4. 「保存」をクリックします。変更したメンバーシップ・ルールが適用可能になります。

ユーザー・メンバーシップ・ルールを削除する手順は、次のとおりです。

1. 「メンバー」タブの「ユーザー・メンバーシップ・ルール」セクションで、「ルールの削除」をクリックします。メンバーシップ・ルールを削除するかどうかの確認を求めるダイアログ・ボックスが表示されます。

2. 「はい」をクリックします。メンバーシップ・ルールは削除され、適用できなくなります。

12.5.2.2.10 「組織」タブ

「組織」タブでは、開いているロールに対して組織を割り当てたり失効することができます。開いているロールに組織を割り当てると、その組織でロールが使用可能になります。これは、組織へのロール・エンティティの公開と呼ばれます。

「組織」タブには、開いているロールが公開されたすべての組織が表示されます。各組織では、「階層対応」列で「下位組織を含める」オプションを選択できます。開いているロールを組織の階層全体で使用可能にする場合には、このオプションを選択します。開いているロールをその階層ではなく組織のみで使用可能にする場合は、このオプションの選択を解除したままにします。

「組織」タブで、次のことを実行できます。

- 組織へのロールの公開

- ロールからの組織の失効

12.5.2.2.11 組織へのロールの公開

組織にロールを公開する手順は、次のとおりです。

1. 「ロールの詳細」ページで、「組織」タブをクリックします。このタブでは、開いているロールに割り当てられた組織が表示されます。

2. 「アクション」メニューから「割当て」を選択します。または、ツールバーにある「割当て」をクリックします。「組織の検索」ダイアログ・ボックスが表示されます。

3. 追加する組織を検索します。組織が「組織結果」セクションの表示されます。

4. 追加する組織を選択して、「選択した項目の追加」をクリックします。選択した組織が「選択した組織」セクションに追加されます。

5. 選択した各組織では、「階層」オプションがデフォルトで選択されます。選択した組織の下位組織にロールを公開する場合は、「階層」オプションを選択したままにします。
選択した組織のみにロールを公開するには、「階層」オプションの選択を解除します。

6. 「OK」をクリックします。ロールは選択した組織に公開されます。つまり、選択した組織がロールに割り当てられます。

12.5.2.2.12 ロールからの組織の失効

ロールから組織を失効する手順は、次のとおりです。

1. 「組織」タブで、失効する組織を選択します。

2. 「アクション」メニューから「失効」を選択します。または、ツールバーにある「失効」をクリックします。確認を求めるメッセージが表示されます。

3. 「失効」をクリックします。組織がロールから失効します。

12.5.2.3 アクセス・ポリシーの表示

このロールで使用可能なすべてのアクセス・ポリシーを表示できます。ロールに割り当てられたアクセス・ポリシーを表示する手順は、次のとおりです。

「ロールの詳細」ページで、「アクセス・ポリシー」をクリックします。「アクセス・ポリシー」ページが表示されます。このページには、ポリシー名とポリシーの簡単な説明が表示されます。

12.5.2.4 ロールの削除

ロールを削除するには、次の手順を実行します。

1. 「ロールの検索」ページで、「ロールの検索」の説明に従ってロールを検索します。

2. 削除するロールを選択します。

3. 「アクション」メニューから「削除」を選択します。または、ツールバーにある「削除」をクリックします。
確認を求めるメッセージが表示されます。

4. 「削除」をクリックして確認します。

注意:

- 他のロールの親または子であるロールは削除できません。このようなロールを削除するには、最初に、関連付けられている親子ロール関係を削除する必要があります。ロールがすべてのロール関係に含まれなくなると、そのロールを削除できます。

- ロールにユーザーが関連付けられていると、そのロールは削除できません。

12.5.3 ロール・カテゴリの作成と管理

ロール・カテゴリは、ナビゲーションおよび認可の目的でロールを分類するために使用します。ロール・カテゴリはロールの属性としてOracle Identity Managerに内部的に格納され、LDAPアイデンティティ・ストアの複数値ビジネス・カテゴリ属性とリコンサイルされます。LDAPの値が空の場合、ロールはデフォルト・ロール・カテゴリに割り当てられます。LDAPの値が認識されない値の場合は、(認識されない値のカテゴリ名を持つ)ロール・カテゴリが作成され、この新しく作成されたロール・カテゴリにロールが割り当てられます。LDAPの値が複数値の場合、Oracle Identity Managerでは、ロール・リコンシリエーション・プロセスでロールをリコンサイルせず、リコンシリエーション・エラーが生成されます。

Oracle Identity Managerのデフォルト・ロール・カテゴリは次のとおりです。

- OIMロール: Oracle Identity Managerのすべての事前定義済ロールはこのカテゴリに割り当てられます。これらのロールは、Oracle Identity Managerにデフォルトで存在し、主に権限の管理で使用されます。これらの事前定義済ロールに対応するエンティティはLDAPストアおよびカタログにありません。

- デフォルト: 新規に作成されたロールはこのロール・カテゴリである必要があります。したがって、ロールの作成時にロール・カテゴリが指定されていない場合、そのロールはデフォルトでこのカテゴリに割り当てられます。

注意:

デフォルト・ロール・カテゴリはローカライズできません。

この項の内容は次のとおりです。

- ロール・カテゴリの作成

- ロール・カテゴリの検索

- ロール・カテゴリの変更

- ロール・カテゴリの削除

12.5.3.1 ロール・カテゴリの作成

ロール・カテゴリを作成する手順は、次のとおりです。

1. 「アイデンティティ・セルフ・サービス」で、「管理」の下の「ロール・カテゴリ」をクリックします。「ロール・カテゴリの検索」ページが表示されます。

2. 「アクション」メニューから「作成」を選択します。または、ツールバーにある「作成」をクリックします。「ロール・カテゴリの作成」ページが表示されます。

3. 「ロール・カテゴリ」ボックスに、ロール・カテゴリの名前を入力します。

4. 「ロール・カテゴリの説明」ボックスに、ロール・カテゴリの説明を入力します。このステップはオプションです。

5. 「保存」をクリックします。ロール・カテゴリが作成され、「ロール・カテゴリの詳細」ページが表示されます。このページは「属性」タブと「ロール」タブで構成されます。
「属性」タブには、ロール・カテゴリの属性が表示されます。ロール・カテゴリを編集するには、このタブのフィールドを編集します。

「ロール」タブには、ロール・カテゴリに属するロールのリストが表示されます。

12.5.3.2 ロール・カテゴリの検索

ロール・カテゴリを検索する手順は、次のとおりです。

1. 「管理」で、「ロール・カテゴリ」をクリックします。「ロール・カテゴリの検索」ページが表示されます。

2. 「ロール・カテゴリ」フィールドで値を指定します。属性値にはワイルドカード文字(*)を含めることができます。

3. 指定した属性値に対して、リストから検索演算子を選択します。次の検索演算子が使用可能です。

- 次で始まる

- 次で終わる

- 次と等しい

- 次と等しくない

- 次を含む

- 次を含まない

検索演算子とワイルドカード文字を組み合せて、検索条件を指定できます。アスタリスク(*)文字をワイルドカード文字として使用します。たとえば、検索基準として「D*」という値を指定して、検索演算子として「次と等しい」を選択できます。「D」で始まるロール・カテゴリが表示されます。

4. 検索可能な属性を「ロール・カテゴリ」に追加するには、「フィールドの追加」をクリックして、属性のリストから属性を選択します。

5. 必要に応じて、「リセット」をクリックし、指定した検索条件をリセットします。通常、この手順を実行すると、指定した検索条件を削除し、新しい検索条件を指定します。

6. 「検索」をクリックします。検索結果が表形式で表示されます。

12.5.3.3 ロール・カテゴリの変更

ロール・カテゴリを変更する手順は、次のとおりです。

1. 「ロール・カテゴリの検索」ページで、変更するロール・カテゴリを検索して選択します。

2. 「アクション」メニューから「開く」を選択します。または、ツールバーにある「開く」をクリックします。ページにロール・カテゴリに関する詳細が表示されます。

3. デフォルトで「属性」タブが開きます。このタブのフィールドを編集して、名前や説明などの基本カテゴリ情報を変更します。完了したら、「適用」をクリックします。

4. 「ロール」タブをクリックします。このタブでは、このカテゴリに割り当てられたすべてのロールを表示できます。

12.5.3.4 ロール・カテゴリの削除

ロール・カテゴリを削除する手順は、次のとおりです。

1. 「ロール・カテゴリの検索」ページで、削除するロール・カテゴリを検索して選択します。

2. 「アクション」メニューから「削除」を選択します。または、ツールバーにある「削除」をクリックします。
「ロール・カテゴリの詳細」ページが開いている場合は、ツールバーにある「削除」をクリックします。

確認を求めるメッセージ・ボックスが表示されます。

3. 「削除」をクリックします。ロール・カテゴリが削除されます。

注意:

ロールにユーザーが関連付けられていると、そのロール・カテゴリは削除できません。

12.6 リクエスト・ベースのロールの付与

Oracle Identity Managerでは、ロール付与の実行時にリクエストが生成されます。このリクエストは承認が必要であるため、ロール付与リクエストが承認された場合のみロール付与が実行されます。

ロール付与リクエストが生成されると、リクエストIDが表示されます。これは、Identity Self ServiceまたはOracle Identity System Administrationでリクエストをトラッキングするためです。

ロール付与リクエストの詳細は次のとおりです。

- リクエストID: 自動生成

- リクエスト・タイプ: リクエストのタイプ

- リクエスト・ステータス: 割当て済

- リクエスト日: 現在のタイムスタンプ

- 有効日: 現在のタイムスタンプ

- リクエスタ: Null

- 受益者: Null

- 理由: Null

13 組織の管理

Oracle Identity Managerでは、組織エンティティは、ユーザー、他の組織などのエンティティの論理的なコンテナを表します。Oracle Identity Managerの組織は、セキュリティ目的でのみ使用されます。企業組織、LDAP組織、組織単位のいずれでもありません。

組織に関連する概念、および組織を管理する手順については、次の各項で説明します。

- 委任管理モデル

- 組織エンティティ定義

- 組織のスコープと階層

- 組織へのエンティティの公開

- 管理ロール

- 委任できる操作と委任できない操作

- パスワード・ポリシーの評価

- 組織管理タスク

13.1 委任管理モデル

Vision Inc.は、委任管理の一般的な事例を示すためにこのドキュメントで使用する架空の会社です。ユーザーには、Employees、Contractors、Suppliers、Partners、Customersの5つのタイプがあります。各ユーザーには約100個のアプリケーションがプロビジョニングされます。この例で提案するソリューションはIDMと呼びます。

図13-1に示すように、Vision Inc.には、2つの主要なユーザー・セット(EmployeesとContractorsで構成されるInternal Users、およびPartners、Suppliers、Customersで構成されるExternal Users)があります。

図13-1 委任管理

「図13-1 委任管理」の説明

Internal Usersは、Oracle Identity Self Serviceを使用してHR管理者によって直接搭載され管理されます。図13-1に示されるように、IDM管理者は様々なPartners、SuppliersおよびCustomersを作成し、これらの各組織に委任管理者を割り当てます。たとえば、IDM管理者は、Partner1というパートナ組織を作成および管理し、Partner1の下に1人以上のユーザーを作成し、その組織の委任管理者としてこれらのユーザーの1人以上を割り当てることができます。その後、委任管理者(たとえば、Partner1 DA)は、Partner1の下に追加の階層(たとえば、Partner1 USとPartner1 EMEA)を作成し、これらの各組織の下に委任管理者を指定することができます。たとえば、Partner1 DAは、Partner1 USの下にPartner1 USの委任管理者としてUser1を指定できます。この階層レベルは、n番目のレベルまで指定できます。

これらの各組織の下に作成されたユーザーは、厳密な権限モデルに従います。たとえば、External Users組織のユーザーは、Internal Usersを参照できませんが、IDM管理者の一部であるInternal Usersは、Internal UsersとExternal Usersの両方を参照できます。Partner1 DAはPartner2の下のユーザーを参照できず、その逆も同様です。同様に、Partner1 US DAはPartner1 EMEAのユーザーを参照できません。親委任管理者は、すべての子委任管理者を参照できますが、その逆はできません。たとえば、Partner1 DAはPartner1 USおよびPartner1 EMEAのユーザーを参照できますが、Partner1 USのユーザーはPartner1 USのユーザーしか参照できません。この委任モデル全体は、組織階層、ユーザーへのビューア管理ロールの割当て、およびユーザーが属する組織のみへのエンティティの公開によって達成されます。

リソースを表示したりアクセスする組織のユーザーの能力は、階層に従います。たとえば、Partner1に許可されているすべてのリソースおよびロールは、Partner1 USおよびPartner1 EMEAにデフォルトで表示されます。これは、このドキュメントの後半で説明するエンティティの公開時に、下位組織を含めるフラグを選択することによって実現されます。公開と委任はどちらも組織階層を認識します。各委任管理者は、対応するエンティティに対するリソースの可用性をさらに制限することができます。

委任管理モデルは、次によって実現されます。

- 組織定義: ユーザーおよびエンティティは組織と呼ばれる論理的なコンテナに定義され、属性のセットは組織に対して定義されています。詳細は、「組織エンティティ定義」を参照してください。

- 論理的な組織階層を使用した組織のスコープ: 特定のユーザー・セットに対するエンティティのスコープ。これは、すべてのユーザーがすべてのエンティティを表示したりアクセスできるわけではないことを意味します。たとえば、Partners組織のユーザーは、Partners組織で使用可能なロール、権限およびアプリケーション・インスタンスのみを表示できます。これらのユーザーは、Suppliers組織およびCustomers組織で使用可能なエンティティを表示したりアクセスすることはできません。詳細は、「組織のスコープと階層」を参照してください。

- 組織へのエンティティの公開: エンティティは組織のユーザーが使用できるようになります。詳細は、「組織へのエンティティの公開」を参照してください。

- 管理ロール: ユーザーのエンティティに対する権限は、ユーザーへの管理ロールの割当てによって制御されます。詳細は、「管理ロール」を参照してください。

13.2 組織エンティティ定義

Oracle Identity Managerでは、組織エンティティに対してデフォルトで属性が定義されています。これらの属性は、すべてのエンティティ(ユーザー、組織、ロール、ロール階層、ロール・メンバーシップなど)で同じです。エンティティに対して定義される属性のリストは、「ユーザー・エンティティ定義」を参照してください。

表13-1に、組織エンティティのデフォルト属性を示します。

表13-1 組織エンティティのデフォルト属性

属性名

カテゴリ

タイプ

データ型

表示タイプ

プロパティ

組織名

基本

単一

文字列

単一行テキスト

必須: はい

システムによるデフォルト設定が可能: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

タイプ

基本

単一

文字列

LOV

必須: はい

システムによるデフォルト設定が可能: はい

システム制御: はい

暗号化: クリア

ユーザー検索可能: はい

親組織

基本

単一

文字列

単一行テキスト

必須: いいえ

システムによるデフォルト設定が可能: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

ステータス

基本

単一

文字列

単一行テキスト

必須: はい

システムによるデフォルト設定が可能: はい

システム制御: はい

暗号化: クリア

ユーザー検索可能: はい

パスワード・ポリシー

基本

単一

文字列

LOV

必須: false

システムによるデフォルト設定が可能: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

13.3 組織のスコープと階層

Oracle Identity Managerでは、組織階層のルートは最上位組織によって表されます。最上位組織は、Oracle Identity Managerで使用可能な事前定義された組織です。デフォルトでは、Oracle Identity Managerのすべての組織が最上位組織から拡張されます。

Oracle Identity Managerでは、委任管理および様々なエンティティのデータ・セキュリティを行う組織レベルのスコープ・メカニズムが提供されます。これは、次によって実現されます。

- 組織のユーザーの管理ロール・メンバーシップ: ユーザーには、組織のスコープの管理ロールを割り当てることによって、その組織に対する権限が割り当てられます。

- 組織で使用可能なエンティティ: データは、その可用性を組織のセットのみに制限することによって保護されます。データを組織のスコープで使用可能にするプロセスは、公開と呼ばれます。ユーザーの管理ロールが組織に公開され、エンティティが同じ組織に公開されている場合、ユーザーは、その管理ロールによる割当てに応じてエンティティ操作の実行を許可されます。

13.4 組織へのエンティティの公開

組織へのエンティティの公開とは、エンティティをその組織で使用可能にすることです。エンタープライズ・ロール、権限またはアプリケーション・インスタンスは、それぞれの管理者によって組織のリストに公開することによって、それらの組織のユーザーに付与することができます。エンタープライズ・ロール、権限およびアプリケーション・インスタンスが組織のリストに公開されると、次のことが可能になります。

- 組織のリストのユーザーにリクエスト可能

- これらのロールを管理する組織管理者のリストが管理しやすい

「アイデンティティ・セルフ・サービス」のそれぞれのエンティティ詳細ページの「組織」タブから、エンティティを組織に公開できます。

エンティティ管理者がエンティティを作成すると(たとえば、ロール管理者がエンタープライズ・ロールを作成すると)、そのエンティティ(この例では、ロール)は、管理者がエンティティ管理ロールを所有するすべての組織で自動的に使用可能になります。これにより、それぞれの組織または組織階層で管理用のエンティティが作成され公開されるのを防ぐことができます。ただし、他の組織にエンティティを公開する必要がある場合は、そのエンティティを手動で公開する必要があります。

13.5 管理ロール

管理ロールはOracle Identity Managerの最初のクラス・エンティティで、エンタープライズ・ロールまたはグループ・エンティティと同じではありません。Oracle Identity Managerの認可およびセキュリティ・モデルは、ユーザーへの管理ロールの割当てに基づいて機能します。割当ては、指定された組織のスコープまたは最上位組織のスコープに指定できます。前述のように、最上位組織はOracle Identity Managerの組織階層のルートです。認可ポリシーは管理ロールに従って作成されます。管理ロールはOracle Identity Managerに事前定義されていて、新しい管理ロールは追加できません。管理ロールは作成、更新、削除またはリクエストすることができません。

エンティティには次の管理ロールが定義されています。

- エンティティ管理者: エンティティのライフサイクル全体を管理し、エンティティですべての操作を実行できます。

- エンティティ・ビューア: カタログ・プロファイルまたはリクエスト・プロファイルのエンティティ、およびエンティティのリクエストを表示できます。

- エンティティ認可者: カタログ・プロファイルまたはリクエスト・プロファイルのエンティティ、およびエンティティのリクエストを表示できますが、承認は必要ありません。組織のメンバーシップはリクエストできないため、組織エンティティの認可者はいません。同様に、ユーザーの認可者もいません。ユーザー管理者とユーザー認可者は同じです。

ただし、エンティティ管理者に特定の例外があります。たとえば、ロール管理者は、そのロールに対してユーザーを割り当てたり失効させることはできません。ロールに対してユーザーを割り当てたり失効させるには、ロール管理者は次のうちのいずれか1つを明示的に所有している必要があります。

「ロール・ビューア」ロール: 承認を条件とするリクエストを使用して、そのロールに対してユーザーを割り当てたり失効させることができる。

「ロール認可者」ロール: 直接的な操作によって、そのロールに対してユーザーを割り当てたり失効させることができる。

同様に、アプリケーション・インスタンス管理者および権限管理者も、それぞれのエンティティに対してユーザーを割り当てたり失効させることはできません。それぞれリクエストまたは直接的な操作によって、そのエンティティに対してユーザーを割り当てたり失効させることができるためには、これらの管理ロールは、「エンティティ・ビューア」ロールまたは「エンティティ認可者」ロールを明示的に所有している必要があります。

管理ロールには階層がありません。ただし、管理ロール・メンバーシップは階層を認識するので、子組織にカスケードできます。管理ロール・メンバーシップは常に組織ごとのスコープに指定され、システム管理者またはシステム構成者によってのみ割り当てることができます。管理ロールには、自動グループ・メンバーシップまたはロール・メンバーシップのルールがありません。

注意:

管理ロールは、LDAPデータ・ストアに格納することができず、Oracle Identity Managerデータベースに格納されます。

管理ロールは、管理ロールというロール・カテゴリに属しています。管理ロールはリクエストすることができず、エンド・ユーザーには決して公開されません。システム機能を実行するために、これらのロールにユーザーを割り当てる必要がある「システム管理者」ロールおよび「システム構成者」ロールのみが、管理ロールにアクセスできます。

「システム管理者」管理ロールおよび「システム構成者」管理ロールは、最上位組織のみが使用可能です。したがって、最上位組織へのアクセス権があるシステム管理者およびシステム構成者のみが、「システム管理者」ロールおよび「システム構成者」ロールを割り当てることができます。組織にリソースをプロビジョニングできるのはシステム管理者のみです。

表13-2に、各エンティティに対するOracle Identity Managerの管理ロールを示します。

注意:

表13-2には、「組織の基本情報」、「ロールの基本情報」、「権限の基本情報」および「アプリケーション・インスタンスの基本情報」という暗黙的権限が含まれています。「基本情報」の権限では、指定されたエンティティを検索および表示するための権限のみが付与されます。次に例を示します。

- 「組織の表示」権限では、「組織ビューア」管理ロールに定義されたすべての権限が付与されますが、「組織の基本情報」では、組織の属性を検索および表示するための権限のみが付与されます。

- 「ユーザー・ビューア」管理ロールでは、スコープ指定された組織のロール、組織、アプリケーション・インスタンスおよび権限に対する「基本情報」の権限が付与されます。

表13-2 Oracle Identity Managerの管理ロール

エンティティ

管理者ロール

説明

システム管理者

すべての権限を持つ、Oracle Identity Managerシステム管理者ロール

システム構成者

Oracle Identity Managerを構成する権限を持つロール

SPML管理者

SPML操作を管理するSPML管理者

ロール

ロール管理者

割り当てられたすべてのエンタープライズ・ロールを管理する権限を持つロール

ロール認可者

割り当てられたすべてのエンタープライズ・ロールを認可する権限を持つロール。ロール認可者は、直接的な操作によってロールを付与できます。

ロール・ビューア

割り当てられたエンタープライズ・ロールを表示する権限を持つロール

権限

権限管理者

割り当てられたすべての権限を管理する権限を持つロール

権限認可者

割り当てられたすべての権限を認可する権限を持つロール

権限ビューア

割り当てられたすべての権限を表示する権限を持つロール

アプリケーション・インスタンス

アプリケーション・インスタンス管理者

割り当てられたすべてのアプリケーション・インスタンスを管理する権限を持つロール

アプリケーション・インスタンス認可者

割り当てられたすべてのアプリケーション・インスタンスを認可する権限を持つロール

アプリケーション・インスタンス・ビューア

割り当てられたすべてのアプリケーション・インスタンスを表示する権限を持つロール

組織

組織管理者

割り当てられたすべての組織を管理する権限を持つロール

組織ビューア

割り当てられたすべての組織を表示する権限を持つロール

ユーザー

ユーザー管理者

割り当てられたすべてのユーザーを管理する権限を持つロール

ヘルプ・デスク

ユーザーを管理するヘルプ・デスク

ユーザー・ビューア

割り当てられたすべてのユーザー・レコードを表示する権限を持つロール

カタログ

カタログ管理者

すべてのカタログ項目を管理する権限を持つロール

関連項目:

管理ロールの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のセキュリティ・アーキテクチャに関する説明を参照してください。

表13-3に、Oracle Identity Managerの管理ロール、および管理ロールによって提供される許可された対応する権限を示します。

表13-3 管理ロールと権限

Oracle Identity Managerの管理ロール

暗黙的権限

スコープ指定された組織の権限

リクエストまたは直接的な操作

ユーザー管理者

組織ビューア

ユーザーの検索(属性レベルのセキュリティ)

該当なし

ロール・ビューア

ユーザーの表示(属性レベルのセキュリティ)

該当なし

権限ビューア

ユーザーの作成

直接

アプリケーション・インスタンス・ビューア

ユーザーの削除

直接

ユーザーの変更(属性レベルのセキュリティ)

直接

ユーザーのロック

該当なし

ユーザーのロック解除

該当なし

ユーザーの有効化

直接

ユーザーの無効化

直接

ロールの付与

直接

ロールの失効

直接

アカウントの付与

直接

アカウントの失効

直接

権限の付与

直接

権限の失効

直接

ユーザー・パスワードの変更

該当なし

アカウント・パスワードの変更

該当なし

ユーザー・アカウントの変更

直接

ユーザー・アカウントの有効化

直接

ユーザー・アカウントの無効化

直接

組織の表示

該当なし

ロールの表示

該当なし

権限の表示

該当なし

アプリケーション・インスタンスの表示

該当なし

リクエストの表示

該当なし

管理ロール・メンバーシップの表示

該当なし

ロール・メンバーシップの表示

該当なし

ユーザー・アカウントの表示

該当なし

ユーザー権限の表示

該当なし

プロキシの表示

該当なし

プロキシの追加

直接

プロキシの削除

直接

ヘルプ・デスク

組織の基本情報

ユーザーの検索(属性レベルのセキュリティ)

該当なし

ロールの基本情報

ユーザーの表示(属性レベルのセキュリティ)

該当なし

権限の基本情報

ユーザーの有効化

リクエスト

アプリケーション・インスタンスの基本情報

ユーザーの無効化

リクエスト

ユーザーのロック解除(ログインの失敗が原因でロックアウトされている場合のみ)

直接

ユーザー・パスワードの変更

直接

アカウント・パスワードの変更

直接

組織の表示

該当なし

ロールの表示

該当なし

権限の表示

該当なし

アプリケーション・インスタンスの表示

該当なし

リクエストの表示

該当なし

ロール・メンバーシップの表示

該当なし

プロキシの表示

該当なし

ユーザー・アカウントの表示

該当なし

ユーザー権限の表示

該当なし

ユーザー・ビューア

組織ビューア

ユーザーの作成

リクエスト

ロール・ビューア

ユーザーの削除

リクエスト

権限ビューア

ユーザーの変更(属性レベルのセキュリティ)

リクエスト

アプリケーション・インスタンス・ビューア

ユーザーの検索(属性レベルのセキュリティ)

該当なし

ユーザーの表示(属性レベルのセキュリティ)

該当なし

ユーザーの有効化

リクエスト

ユーザーの無効化

リクエスト

ロールの付与

リクエスト

ロールの失効

リクエスト

アカウントの付与

リクエスト

アカウントの失効

リクエスト

権限の付与

リクエスト

権限の失効

リクエスト

ユーザー・アカウントの変更

リクエスト

組織の表示

該当なし

ロールの表示

該当なし

権限の表示

該当なし

アプリケーション・インスタンスの表示

該当なし

リクエストの表示

該当なし

ロール・メンバーシップの表示

該当なし

プロキシの表示

該当なし

ユーザー・アカウントの有効化

リクエスト

ユーザー・アカウントの無効化

リクエスト

管理ロール・メンバーシップの表示

該当なし

管理ロールの追加

該当なし

管理ロールの削除

該当なし

管理ロール・メンバーシップの変更

該当なし

ユーザー・アカウントの表示

該当なし

ユーザー権限の表示

該当なし

ロール・ビューア

組織の基本情報

ロールの付与

リクエスト

ユーザーの基本情報

ロールの失効

リクエスト

組織の表示

該当なし

ロールの表示

該当なし

ユーザーの表示

該当なし

ロール・メンバーシップの表示

該当なし

組織ビューア

組織の基本情報

組織の検索

該当なし

ユーザーの基本情報

組織の表示

該当なし

アプリケーション・インスタンスの情報

ユーザーの表示

該当なし

権限の情報

ロールの表示

該当なし

アプリケーション・インスタンスの表示

該当なし

権限の表示

該当なし

すべてのパブリケーションの表示

該当なし

すべての組織メンバーの表示

該当なし

管理ロールおよびメンバーシップの表示

該当なし

組織にプロビジョニングされたアカウントの表示

該当なし

アプリケーション・インスタンス・ビューア

ユーザーの基本情報

アプリケーション・インスタンスの検索

該当なし

組織の基本情報

アプリケーション・インスタンスの表示(パスワードを除く)

該当なし

権限の情報

アカウントの付与

リクエスト

アカウントの失効

リクエスト

ユーザー・アカウントの変更

リクエスト

ユーザー・アカウントの有効化

リクエスト

ユーザー・アカウントの無効化

リクエスト

組織の表示

該当なし

ユーザーの表示

該当なし

アプリケーション・インスタンスの表示

該当なし

権限の表示

該当なし

ユーザー・アカウントの表示

該当なし

ユーザー権限の表示

該当なし

権限ビューア

ユーザーの基本情報

権限の検索

該当なし

組織の基本情報

権限の表示

該当なし

アプリケーション・インスタンスの基本情報

権限の付与

リクエスト

権限の失効

リクエスト

組織の表示

該当なし

ユーザーの表示

該当なし

アプリケーション・インスタンスの表示

該当なし

ユーザー・アカウントの表示

該当なし

ユーザー権限の表示

該当なし

ロール管理者

ユーザーの基本情報

ロールの検索

該当なし

組織の基本情報

ロールの表示

該当なし

ロールの作成

直接

ロールの変更

直接

ロールの削除

直接

ロール・メンバーの表示

該当なし

ロール階層の管理

直接

ロールの公開(許可された組織に対してのみ)

直接

ロールの公開解除(許可された組織に対してのみ)

直接

ロール・メンバーシップ・ルールの管理

直接

ロール・カテゴリの作成

直接

ロール・カテゴリの更新

直接

ロール・カテゴリの削除

直接

ユーザーの表示

該当なし

組織の表示

該当なし

ロール・メンバーシップの表示

該当なし

アプリケーション・インスタンス管理者

ユーザーの基本情報

アプリケーション・インスタンスの作成

直接

組織の基本情報

アプリケーション・インスタンスの変更

直接

権限管理者

アプリケーション・インスタンスの削除

直接

アプリケーション・インスタンスの検索

該当なし

アプリケーション・インスタンスの表示

該当なし

アプリケーション・インスタンスの公開(許可された組織に対してのみ)

直接

アプリケーション・インスタンスの公開解除(許可された組織に対してのみ)

直接

権限の公開(許可された組織に対してのみ)

直接

権限の公開解除(許可された組織に対してのみ)

直接

拡張UIへのアクセス

該当なし

アカウントの表示

該当なし

ユーザーの表示

該当なし

組織の表示

該当なし

ユーザー・アカウントの表示

該当なし

ユーザー権限の表示

該当なし

組織管理者

ユーザーの基本情報

組織の検索

該当なし

アプリケーション・インスタンスの基本情報

組織の表示

該当なし

権限の基本情報

組織の作成

直接

ロールの基本情報

組織の変更

直接

組織の削除

直接

管理ロールに対するすべてのロール管理者権限

直接

特定の組織に対する組織階層の更新

直接

パスワード・ポリシーの関連付け

直接

メンバーの表示

該当なし

公開されたロールの表示

該当なし

公開されたアプリケーション・インスタンスの表示

該当なし

公開された権限の表示

該当なし

組織にプロビジョニングされたアカウントの表示

注意: 組織へのリソースのプロビジョニングは、システム管理者のみに許可されます。

該当なし

権限管理者

ユーザーの基本情報

権限の検索

該当なし

アプリケーション・インスタンスの基本情報

権限の表示

該当なし

組織の基本情報

権限(API)の追加

直接

権限(API)の削除

直接

権限(API)の更新

直接

権限の公開(許可された組織に対してのみ)

直接

権限の公開解除(許可された組織に対してのみ)

直接

組織の表示

該当なし

ユーザーの表示

該当なし

アプリケーション・インスタンスの表示

該当なし

アカウントの表示

該当なし

権限メンバーの表示

該当なし

組織のデータ・セキュリティを適用する公開された権限(API)の表示

該当なし

カタログ管理者

アプリケーション・インスタンスの基本情報

カタログ・メタデータの編集

直接

権限の基本情報

リクエスト・プロファイルの作成

直接

ロールの基本情報

リクエスト・プロファイルの変更

直接

リクエスト・プロファイルの削除

直接

アプリケーション・インスタンスの表示

該当なし

権限の表示

該当なし

ロールの表示

該当なし

ロール認可者

ユーザーの基本情報

ロールの表示

該当なし

組織の基本情報

ロールの付与

直接

ロールの失効

直接

組織の表示

該当なし

ユーザーの表示

該当なし

ロール・メンバーシップの表示

該当なし

アプリケーション・インスタンス認可者

ユーザーの基本情報

アプリケーション・インスタンスの検索

該当なし

組織の基本情報

アプリケーション・インスタンスの表示(パスワードを除く)

該当なし

アカウントの付与

直接

アカウントの失効

直接

アカウントの変更

直接

アカウントの有効化

直接

アカウントの無効化

直接

組織の表示

該当なし

権限の表示

該当なし

ユーザーの表示

該当なし

ユーザー・アカウントの表示

該当なし

ユーザー権限の表示

該当なし

権限認可者

ユーザーの基本情報

権限の検索

該当なし

組織の基本情報

権限の表示

該当なし

アプリケーション・インスタンスの基本情報

権限の付与

直接

権限の失効

直接

ユーザーの表示

該当なし

組織の表示

該当なし

アプリケーション・インスタンスの表示

該当なし

ユーザー・アカウントの表示

該当なし

ユーザー権限の表示

該当なし

カタログ・システム管理者

アプリケーション・インスタンスの基本情報

カタログ・メタデータの編集

直接

権限の基本情報

リクエスト・プロファイルの作成

直接

ロールの基本情報

リクエスト・プロファイルの変更

直接

リクエスト・プロファイルの削除

直接

アプリケーション・インスタンスの表示

該当なし

権限の表示

該当なし

ロールの表示

該当なし

システム構成管理者

ロールの基本情報

フォームの表示

該当なし

組織の基本情報

フォームの作成

該当なし

アプリケーション・インスタンスの基本情報

フォームの変更

該当なし

権限の基本情報

フォームの削除

該当なし

コネクタのインポート

該当なし

コネクタのエクスポート

該当なし

リソース・オブジェクトの表示

該当なし

リソース・オブジェクトの作成

該当なし

リソース・オブジェクトの変更

該当なし

リソース・オブジェクトの削除

該当なし

アプリケーション・インスタンスの表示

該当なし

アプリケーション・インスタンスの作成

該当なし

アプリケーション・インスタンスの変更

該当なし

アプリケーション・インスタンスの削除

該当なし

アプリケーション・インスタンスの公開

該当なし

権限の表示

該当なし

権限の公開

該当なし

権限の削除

(APIを使用)

該当なし

権限の変更

(APIを使用)

該当なし

権限の追加

(APIを使用)

該当なし

承認ポリシーの表示

該当なし

承認ポリシーの作成

該当なし

承認ポリシーの変更

該当なし

承認ポリシーの削除

該当なし

拡張UIへのアクセス

該当なし

パスワード・ポリシーの表示

該当なし

パスワード・ポリシーの作成

該当なし

パスワード・ポリシーの変更

該当なし

パスワード・ポリシーの削除

該当なし

通知の表示

該当なし

通知の作成

該当なし

通知の削除

該当なし

通知の変更

該当なし

通知へのロケールの追加

該当なし

通知からのロケールの削除

該当なし

非同期イベント・ハンドラの完了

該当なし

編成操作

該当なし

プラグインの登録

該当なし

プラグインの登録解除

該当なし

スケジュール済ジョブの表示

該当なし

スケジューラの開始

該当なし

スケジューラの停止

該当なし

タスクの追加

該当なし

タスクの変更

該当なし

タスクの削除

該当なし

トリガーの作成

該当なし

トリガーの削除

該当なし

トリガーの変更

該当なし

ジョブの表示

該当なし

ジョブの作成

該当なし

ジョブの変更

該当なし

ジョブの削除

該当なし

ジョブの有効化

該当なし

ジョブの無効化

該当なし

ジョブの即時実行

該当なし

ジョブの一時停止

該当なし

ジョブの再開

該当なし

ジョブの停止

該当なし

ステータスのリセット

該当なし

システム・プロパティの表示

該当なし

システム・プロパティの作成

該当なし

システム・プロパティの変更

該当なし

システム・プロパティの削除

該当なし

属性の表示

該当なし

属性の追加

該当なし

属性の変更

該当なし

属性の削除

該当なし

導出属性の追加

該当なし

SPML管理者

ユーザーの作成、変更および削除

リクエスト

すべての属性のユーザーの検索

該当なし

ユーザー・ステータスの有効化

リクエスト

ユーザー・ステータスの無効化

リクエスト

ロール・メンバーシップの追加

リクエスト

ロール・メンバーシップの削除

リクエスト

すべての属性のロールの検索

該当なし

ロールの作成、変更および削除

リクエスト

注意:

マネージャのみがマネージャのReporteeを表示または変更できるように、ホーム組織の権限に制限を追加できます。そのためには、認可ポリシー管理(APM) UIを使用して次のポリシーを開き、削除します。

- OrclOIMUserHomeOrgDirectWithAttributesPolicy

- OrclOIMUserHomeOrgDirectPolicy

- OrclOIMUserHomeOrgApprovalWithAttributesPolicy

- OrclOIMUserHomeOrgApprovalPolicy

Oracle Identity Managerアプリケーションへのユーザー・アクセスの制御に使用される認可ポリシーの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』の「セキュリティ・アーキテクチャ」を参照してください。

13.6 委任できる操作と委任できない操作

他のユーザー(委任管理者)に委任することができる操作があります。操作は次のとおりです。

- ユーザーの作成

- ユーザーの変更

- ユーザーの有効化

- ユーザーの無効化

- パスワードの変更

- ロールの割当て

- 組織の割当て

- 権限の割当て

- アカウントのプロビジョニング

- 組織および組織階層の作成と管理

- ロールおよびロール階層の作成と管理

- ROおよびITリソース・インスタンスの作成と管理

次の操作は、他のユーザーに委任することはできません。

- カタログの作成と管理

- その他のシステム管理タスク

- 参照定義の管理

- パスワード・ポリシー定義の管理

13.7 パスワード・ポリシーの評価

パスワード・ポリシーとは、パスワードの構文を管理するルールまたは条件のリストです。パスワード・ポリシーはシステム管理者によって作成されます。パスワード・ポリシーの作成および管理の詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』の「パスワード・ポリシーの管理」を参照してください。

組織管理者は、組織の作成中または後の任意の時点で、組織にパスワード・ポリシーを付加できます。組織を作成または変更する手順は、この章の後半で説明します。

Oracle Identity Managerでは、次のようなシナリオでパスワード・ポリシーが評価されます。

- ユーザーがOracle Identity Managerに自分自身を登録して、Identity Self ServiceまたはOracle Identity System Administrationの特定のタスクを実行する場合。

- ユーザーが「パスワードを忘れた場合」リンクを使用してパスワードをリセットする場合。

- ユーザーが「本人情報」ページの「パスワードの変更」セクションから、エンタープライズ・パスワードまたはターゲット・システム・アカウントのパスワードを変更する場合。

- 管理者がユーザーのパスワードを手動で設定または変更する場合。

次に、ユーザーの有効なパスワード・ポリシーが評価される順序を示します。

1. ユーザーのホーム組織に設定されているパスワード・ポリシー(ある場合)は、ユーザーに適用されます。

2. パスワード・ポリシーがユーザーのホーム組織に設定されていない場合は、ユーザーのホーム組織の組織階層の次のレベルの組織のポリシーが選択されます。パスワード・ポリシーに関連付けられた組織が決定されるまで、ユーザーのホーム組織の階層の次のレベルの組織を識別するこの手順は繰り返されます。このパスワード・ポリシーはユーザーに適用されます。

3. 階層のどの組織にもパスワード・ポリシーが設定されていない場合は、最上位組織に付加されたパスワード・ポリシーが適用されます。最上位組織に付加されたパスワード・ポリシーがない場合には、XellerateUsersリソースのデフォルト・パスワード・ポリシーが適用されます。

13.8 組織管理タスク

組織管理に関連するタスクは、「アイデンティティ・セルフ・サービス」の「組織」セクションで実行します。タスクについては、次の各項で説明します。

- 組織の検索

- 組織の作成

- 組織の表示と変更

- 組織の有効化と無効化

- 組織の削除

13.8.1 組織の検索

組織を検索する手順は、次のとおりです。

1. Identity Self Serviceにログインします。

2. 左ペインの「管理」の「組織」をクリックします。「組織」ページが表示されます。

3. 次のいずれかを選択します。

- すべて: 検索はAND条件で実行されます。つまり、指定されたすべての検索基準を満たす場合のみ検索操作が成功します。

- いずれか: 検索はOR条件で実行されます。つまり、指定された選択基準のいずれかに一致する場合に検索操作が成功します。

4. 「組織名」フィールドに、検索する組織名の検索属性を入力します。これを行うには、検索コンパレータを選択します。デフォルトの検索コンパレータは「次で始まる」です。かわりに、リストからコンパレータ「次と等しい」を選択することもできます。
ワイルドカード文字を使用して、組織名を指定できます。

5. 「タイプ」リストから組織タイプを選択します。組織タイプには、「支店」、「会社」または「部門」があります。

6. 検索のフィールドを追加する手順は、次のとおりです。

1. 「フィールドの追加」をクリックし、「組織ステータス」などのフィールドを選択します。

2. 追加した検索属性の値を入力します。この例では、「組織ステータス」リストから組織ステータス(「アクティブ」、「削除」または「無効」)を選択します。
検索に追加したフィールドを削除するには、フィールドの横にある「X」アイコンをクリックします。

7. 「検索」をクリックします。結果は検索結果表に表示されます。
図13-2に示すように、検索結果表には、組織名、親組織名、組織タイプおよび組織ステータスが表示されます。

図13-2 組織の検索結果

「図13-2 組織の検索結果」の説明

13.8.2 組織の作成

組織を作成するには、次の手順を実行します。

1. 「アイデンティティ・セルフ・サービス」の「管理」の「組織」をクリックします。「組織」ページが表示されます。

2. 「アクション」メニューから「作成」を選択します。または、ツールバーにある「作成」をクリックします。図13-3に示すように、「組織の作成」ページが表示されます。

図13-3 「組織の作成」ページ

「図13-3 「組織の作成」ページ」の説明

3. 「組織名」フィールドに、組織の名前を入力します。

4. 「タイプ」リストから、組織のタイプ(「支店」、「会社」または「部門」)を選択します。

5. 新規作成した組織が所属する親組織を指定します。手順は次のとおりです。

1. 「親組織」フィールドの横にある「検索」アイコンをクリックします。「組織の検索」ダイアログ・ボックスが表示されます。

2. 親組織として指定する組織を検索して選択します。

3. 「選択」をクリックします。選択した組織が親組織として追加されます。

6. 組織に関連付けるパスワード・ポリシー名を指定します。手順は次のとおりです。

1. 「パスワード・ポリシー名」フィールドの横にある「検索」アイコンをクリックします。「パスワード・ポリシー名の検索」ダイアログ・ボックスが表示されます。

2. 組織に関連付けるパスワード・ポリシーを検索して選択します。すべてのパスワード・ポリシーを表示するには、「検索」アイコンをクリックして、検索結果からパスワード・ポリシーを選択できます。

3. 「追加」をクリックします。選択したパスワード・ポリシー名が、「パスワード・ポリシー名」フィールドに追加されます。

関連項目:

パスワード・ポリシーの作成および管理の詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のパスワード・ポリシーの管理に関する説明を参照してください。

7. 「保存」をクリックして組織を作成します。

13.8.3 組織の表示と変更

組織の表示操作では、「組織の詳細」ページで詳細な組織プロファイル情報を表示できます。このページは、認可ポリシーで定義されている組織プロファイルを表示する権限が付与されている場合のみ表示できます。また、組織の変更権限がある場合は、このページを使用して組織を変更できます。

組織の詳細を開く手順は、次のとおりです。

1. 「アイデンティティ・セルフ・サービス」の「管理」の「組織」をクリックします。「組織」ページが表示されます。

2. 詳細を表示する組織を検索して選択します。

3. 「アクション」メニューから「開く」を選択します。または、ツールバーにある「開く」をクリックします。図13-4に示すように、選択した組織の詳細が新しいページに表示されます。

図13-4 「組織の詳細」ページ

「図13-4 「組織の詳細」ページ」の説明

「組織の詳細」ページでは、管理組織の変更を実行できます。変更は「組織の詳細」ページの複数のセクションで個別に行うため、各セクションで行った変更は他のセクションに影響を与えず、変更内容は個別に保存する必要があります。各セクションで行う変更については、次の各項で説明します。

- 組織の属性の変更

- 子組織の管理

- 組織のメンバーシップの表示

- 使用可能なロールの表示

- 管理ロールの管理

- 使用可能なアカウントの表示

- プロビジョニングされたアカウントの表示

- 使用可能な権限の表示

13.8.3.1 組織の属性の変更

図13-4に示すように、「組織の詳細」ページの「属性」タブには、組織の属性が表示されます。認可ポリシーで定義されている組織プロファイルを変更する権限が付与されている場合は、「組織の詳細」ページが編集可能モードで開き、組織情報を変更できます。属性の値を変更し、「適用」をクリックして変更内容を保存します。

ログイン・ユーザーが組織を変更できるかどうかは、認可ポリシーによって制御されます。組織の変更を許可されていない場合、「組織の詳細」ページは読取り専用モードで表示され、編集可能なフィールドはありません。

注意:

「組織の詳細」ページの「ステータス」属性は読取り専用です。

13.8.3.2 子組織の管理

「子」タブには、開いている組織に所属する子組織のリストが表示されます。リスト内の各子組織に関して、組織名、組織タイプおよび組織ステータスが表示されます。

「子」タブを使用すると、次のことを実行できます。

- 子組織の作成

- 子組織の削除

- 子組織の無効化

- 子組織の有効化

- 子組織を開く

13.8.3.2.1 子組織の作成

「子」タブでは、「アクション」メニューから「下位組織の作成」を選択することによって、開いている組織の子組織または下位組織を作成できます。または、ツールバーにある「下位組織の作成」をクリックします。「組織の作成」ページが表示されます。「組織の作成」で説明する手順を実行して、子組織の作成を完了します。

13.8.3.2.2 子組織の削除

子組織を削除する手順は、次のとおりです。

1. 「子」タブで、削除する組織を選択します。

2. 「アクション」メニューから「削除」を選択します。または、ツールバーにある「削除」をクリックします。確認を求めるメッセージが表示されます。

3. 「はい」をクリックして確認します。選択した子組織が削除されます。

13.8.3.2.3 子組織の無効化

子組織を無効化する手順は、次のとおりです。

1. 「子」タブで、無効化する組織を選択します。

2. 「アクション」メニューで、「無効化」を選択します。または、ツールバーにある「無効化」をクリックします。確認を求めるメッセージが表示されます。

3. 「はい」をクリックして確認します。選択した子組織が無効化されます。

13.8.3.2.4 子組織の有効化

子組織を有効化する手順は、次のとおりです。

1. 「子」タブで、有効化する組織を選択します。

2. 「アクション」メニューで、「有効化」を選択します。または、ツールバーにある「有効化」を選択します。確認を求めるメッセージが表示されます。

3. 「はい」をクリックして確認します。選択した子組織が有効化されます。

13.8.3.2.5 子組織を開く

「子」タブから子組織の詳細を開くには、組織を選択し、「アクション」メニューから「開く」を選択します。または、ツールバーにある「開く」をクリックするか、単に組織の名前をクリックします。

子組織を変更するには、変更する子組織の名前をクリックします。選択した組織の「組織の詳細」ページが表示され、このページを使用してその組織の詳細を変更できます。

13.8.3.3 組織のメンバーシップの表示

「メンバー」タブは読取り専用タブで、選択した組織のユーザーのリストが表示されます。リスト内の各ユーザーに関して、次の情報が表示されます。

- ユーザー・ログイン

- 表示名

- 名

- 姓

- 電子メール

ヒント:

「ユーザーの詳細」ページの「属性」タブを使用して、組織に対してユーザーを追加または削除できます。

13.8.3.4 使用可能なロールの表示

組織のロールを表示するには、「組織の詳細」ページの「使用可能なロール」タブをクリックします。このタブには、ロール名、ロール・カテゴリおよび対応する組織名が表示されます。

13.8.3.5 管理ロールの管理

組織に割り当てられている管理ロールを表示するには、「組織の詳細」ページの「管理ロール」タブをクリックします。このタブには、管理ロールとそれらに対応する説明が表示されます。管理ロールを選択すると、選択した管理ロールを持つユーザーが「ユーザー・メンバー」セクションに表示されます。また、このタブでは、開いている組織で利用可能な管理ロールをユーザーに対して付与および失効することができます。

「管理ロール」タブでは、次のタスクを実行できます。

- 管理ロールの付与

- 管理ロールの失効

13.8.3.5.1 管理ロールの付与

ユーザーに管理ロールを付与する手順は、次のとおりです。

1. 「組織の詳細」ページで、「管理ロール」タブをクリックします。開いている組織に割り当てられている管理ロールのリストが表示されます。

2. ユーザーに付与する管理ロールを選択します。

3. ツールバーにある「割当て」をクリックします。「ターゲット・ユーザーの拡張検索」ダイアログ・ボックスが表示されます。

4. 選択した管理ロールを付与するターゲット・ユーザーを検索します。「自分の直下の表示のみ」オプションを選択すると、直属の部下のみを表示できます。

5. 「ユーザー結果」セクションで、管理ロールを付与するユーザーを選択します。

6. 選択したユーザーを「選択したユーザー」セクションに移動するには、「選択した項目の追加」をクリックします。また、すべてのユーザーを「ユーザー結果」セクションから「選択したユーザー」セクションに移動するには、「すべて追加」をクリックします。

7. 「追加」をクリックします。選択したユーザーに管理ロールが付与されます。「管理ロール」タブで管理ロールをクリックすると、選択したユーザーのレコードが「ユーザー・メンバー」セクションに表示されます。

8. 「ユーザー・メンバー」セクションで、ユーザー・レコードを選択します。「下位組織を含める」を選択すると、ユーザーの組織およびその下位組織に管理ロールが付与されます。管理ロールをユーザーの組織のみに付与する場合は、このオプションを選択しないでください。

13.8.3.5.2 管理ロールの失効

ユーザーから管理ロールを失効する手順は、次のとおりです。

1. 「管理ロール」タブで、ユーザーを失効する管理ロールを選択します。

2. 「ユーザー・メンバー」セクションで、管理ロールを失効するユーザーを選択します。

3. 「アクション」メニューから「失効」を選択します。または、ツールバーにある「失効」をクリックします。確認を求めるメッセージが表示されます。

4. 「失効」をクリックして確認します。管理ロールを選択すると、ユーザー・レコードは表示されなくなります。

13.8.3.6 使用可能なアカウントの表示

組織で使用可能なアカウントは、組織に公開されているアカウントです。これは、アカウントが組織のユーザーによるリクエストに使用可能であることを意味します。組織で使用可能なアカウントを表示するには、「組織の詳細」ページの「使用可能なアカウント」タブをクリックします。

13.8.3.7 プロビジョニングされたアカウントの表示

「プロビジョニングされたアカウント」タブには、開いている組織にプロビジョニングされているアカウントが表示されます。

「プロビジョニングされたアカウント」タブでは、次のタスクを実行できます。

- アカウントのプロビジョニング

- アカウントの失効

- プロビジョニングされたアカウントの詳細の表示

- プロビジョニングされたアカウントの無効化

- プロビジョニングされたアカウントの有効化

13.8.3.7.1 アカウントのプロビジョニング

組織にアカウントをプロビジョニングする手順は、次のとおりです。

1. 「プロビジョニングされたアカウント」タブで、プロビジョニングするアカウントを選択します。

2. 「アクション」メニューから「プロビジョニング」を選択します。または、ツールバーにある「プロビジョニング」をクリックします。
「組織にリソースをプロビジョニング」ページが新しいウィンドウに表示されます。

3. 「ステップ1: リソースの選択」ページで、リストからリソースを選択し、「続行」をクリックします。

4. 「ステップ2: リソースの選択の検証」ページで、「続行」をクリックします。

5. 「ステップ5: プロセス・データの指定」ページで、組織にプロビジョニングするアカウントの詳細を入力し、「続行」をクリックします。

6. 「ステップ6: プロセス・データの検証」ページで、指定したデータを確認して「続行」をクリックします。「プロビジョニングは開始されています。」というメッセージが表示されます。

13.8.3.7.2 アカウントの失効

組織からアカウントを失効する手順は、次のとおりです。

1. 「プロビジョニングされたアカウント」タブで、失効するアカウントを選択します。

2. 「アクション」メニューから「失効」を選択します。または、ツールバーにある「失効」をクリックします。
確認を求めるメッセージが表示されます。

3. 「はい」をクリックします。

13.8.3.7.3 プロビジョニングされたアカウントの詳細の表示

プロビジョニングされたアカウントの詳細を表示する手順は、次のとおりです。

1. 「プロビジョニングされたアカウント」タブで、開くアカウントを選択します。

2. 「アクション」メニューから「開く」を選択します。または、ツールバーにある「開く」をクリックします。
アカウントの詳細が新しいページに表示されます。

13.8.3.7.4 プロビジョニングされたアカウントの無効化

プロビジョニングされたアカウントを無効化する手順は、次のとおりです。

1. 「プロビジョニングされたアカウント」タブで、無効化するアカウントを選択します。

2. 「アクション」メニューで、「無効化」を選択します。または、ツールバーにある「無効化」をクリックします。
プロビジョニングされたアカウントが正常に無効化されたことを示すメッセージが表示されます。

13.8.3.7.5 プロビジョニングされたアカウントの有効化

プロビジョニングされたアカウントを有効化する手順は、次のとおりです。

1. 「プロビジョニングされたアカウント」タブで、有効化するアカウントを選択します。

2. 「アクション」メニューで、「有効化」を選択します。または、ツールバーにある「有効化」をクリックします。
プロビジョニングされたアカウントが正常に有効化されたことを示すメッセージが表示されます。

13.8.3.8 使用可能な権限の表示

開いている組織に公開された権限を表示するには、「使用可能な権限」タブをクリックします。各権限について、次の情報が表示されます。

- 権限名

- 権限に関連付けられているリソース

- 権限に関連付けられているアカウント名

- 組織名

13.8.4 組織の有効化と無効化

注意:

子組織またはユーザーが含まれる組織は無効化できません。「ORG.DISABLEDELETEACTIONENABLED」システム・プロパティを「true」に設定した場合のみ、強制的に無効化できます。このプロパティを設定した場合は、親組織が無効化されるとユーザーおよび下位組織も無効化されます。

「有効」状態の組織を無効化する手順は、次のとおりです。

1. 「組織の詳細」ページで、ページの上部にある「無効化」をクリックします。または、「組織」ページの組織の検索結果から組織を選択し、「アクション」メニューから「無効化」を選択します。
確認を求めるメッセージが表示されます。

2. 「無効化」をクリックして確認します。

「無効」状態の組織を有効化する手順は、次のとおりです。

1. 「組織」ページの組織の検索結果から、有効化する組織を選択します。

2. 「アクション」メニューで、「有効化」を選択します。確認を求めるメッセージが表示されます。

3. 「有効化」をクリックして確認します。

13.8.5 組織の削除

注意:

- 子組織またはユーザーが含まれる組織は削除できません。「ORG.DISABLEDELETEACTIONENABLED」システム・プロパティを「true」に設定した場合のみ、強制的に削除できます。このプロパティを設定した場合は、親組織が削除されるとユーザーおよび下位組織も削除されます。

- 組織を削除できるのは、その組織に対する削除権限がある場合のみです。

- 削除されたデータは、「削除」とマークされてデータベース内に引続き存在します。

組織を削除するには、次の手順を実行します。

1. 「組織」ページの組織の検索結果から、削除する組織を選択します。

2. 「アクション」メニューから「削除」を選択します。または、「組織の詳細」ページの上部にある「削除」をクリックします。確認を求めるメッセージが表示されます。

3. 「削除」をクリックして確認します。

14 アテステーション・ダッシュボードの使用

自分がメンバーであるグループが所有するアテステーション・プロセスの状態を表示するには、アテステーション・ダッシュボードを使用します。

アテステーション・ダッシュボードを使用するには、Oracle Identity Self Serviceにログインして、「アテステーション・ダッシュボード」をクリックします。「アテステーション・ダッシュボード」ページには、自分がメンバーであるグループが所有するアテステーション・プロセスの状態がリストされた表が表示されます。「アテステーション・ダッシュボード」表には、次の表に示す列が表示されます。

列

説明

プロセス・コード

アテステーション・プロセス・コード。

プロセス名

プロセスの名前。アテステーション・プロセス名のリンクをクリックすると「アテステーション・プロセスの詳細」ページが表示されます。

前回の完了

最後のインスタンスの前に実行されたインスタンスが完了した日付と時刻。存在しない場合、値は「なし」です。これは、目的のアテステーション・リクエストの「アテステーション・リクエストの詳細」ページに移動するリンクです。

現在のリクエスト日

このプロセスの最後のインスタンスが実行された日付と時刻。実行されていない場合、値は「新規」です。これは、目的のアテステーション・リクエストの「アテステーション・リクエストの詳細」ページに移動するリンクです。

現在完了

最後に実行されたインスタンスが完了した日付と時刻。完了していない場合、値は「保留」です。

全レコード

アテステーションに対して識別されている権限および最後のプロセス・インスタンスの一部としてアテステーションの対象とされている権限の総数。

認証済

最後のアテステーション・プロセス・インスタンスで認可された権限の数。

却下

最後のアテステーション・プロセス・インスタンスで却下された権限の数。

オープン

レビューアによりレスポンスが入力されなかったすべてのオープン・レコード。

14.1 アテステーション・リクエスト詳細の表示

「アテステーション・ダッシュボード」ページからドリルダウン・ページにアクセスできます。ドリルダウン・ページには、アテステーション・プロセスの特定の実行で処理するすべての権限のアテステーション詳細が表示されます。

アテステーション・リクエスト詳細を表示するには、次の手順を実行します。

1. 「アテステーション・ダッシュボード」ページの表に表示された「前回の完了」フィールドまたは「現在のリクエスト・ページ」フィールドのリンクをクリックします。
「アテステーション・リクエストの詳細」ページには、選択したアテステーション・プロセスのリクエスト詳細が、次の列を含む表とともに表示されます。

列

説明

ユーザー

権限がアテスト対象となっているユーザー。データはリンクとして表示されます。このリンクをクリックすると、「ユーザー・プロファイル」ページが表示され、アテステーション日のユーザーの詳細が表示されます。

リソース

アテストされる権限の基盤であるリソース。データはリンクとして表示されます。リンクをクリックすると、ページが表示され、アテステーション日の権限のプロセス・フォーム・データが表示されます。

記述データ

プロビジョニング・リソース・インスタンスの説明。

コメント

リクエストのコメントまたはステータス。次のいずれかの値を使用できます。

- 認証

- 却下

- オープン

- クローズ

アテステーション結果

アテステーションに対して入力された最後のレスポンス。

レビューア

レスポンスを入力したユーザー。データはリンクとして表示されます。このリンクをクリックすると、「ユーザー・プロファイル」ページが表示され、現在のユーザーの詳細が表示されます。

委任パス

権限のアテステーションが委任を経由して実行された場合、この列の「表示」リンクを使用して、「委任パスの詳細」ページを表示できます。委任が発生しなかった場合、「なし」と表示されます。

コメント

レビューア・コメント。長いコメントは切り捨てられ、ツールチップを使用してコメントの全文が表示されます。

2. 委任が必要なアテステーション・リクエストには、「委任パス」列にリンクが含まれます。
リンクをクリックすると、「委任パス」ページに、アテステーション・リクエストの委任パスに関する情報が表示されます。

「アテストされたデータ」フィールドには、アテスト対象権限の詳細が表示されます。値は、ユーザー情報、リソース名および記述データをまとめて次の形式で構成されます。

User_First_Name User_Last_Name [User_ID] - Resource_Name - Descriptive_Data

「委任パス」ページの表にあるフィールドは次のとおりです。

列

説明

レビューア

アテストする権限が割り当てられたレビューア。データはリンクとして表示されます。このリンクをクリックすると、現在のユーザー・プロファイル・データが表示されます。

アテステーション結果

レビューアにより行われるアクション。最初のレコードを除き、値は常に「委任済」です。

アテステーション日

レビューアのアテステーション・レスポンスの日付と時刻。

コメント

レビューア・コメント。長いコメントは切り捨てられ、ツールチップを使用してコメントの全文が表示されます。

14.2 電子メール通知

アテステーション・プロセスの一部として、アテステーション・エンジンは様々な段階で電子メールを関係者に送信します。電子メールの内容は、Oracle Identity Managerの「電子メール定義」ストアの「一般」タイプの電子メール・テンプレートを使用して構成できます。

テンプレートでは、フォーム・ユーザーはXELSYSADMと定義されます。これは別のユーザーに変更できます。電子メール・アドレスが、このテンプレートを使用するように選択されたユーザーに対して定義されていることを確認してください。定義されていない場合、通知の送信に失敗することがあります。

次の電子メール通知テンプレートを使用できます。

- Notify Attestation Reviewer: アテステーション・タスクがレビューアに割り当てられたときに電子メールを送信するために使用されます。

- Notify Delegated Reviewers: アテステーション・タスクがレビューアに委任されたときにレビューアに電子メールを送信するために使用されます。

- Notify Declined Attestation Entitlements: レビューアが権限を拒否した場合に、「プロセス所有者グループ」のユーザーに電子メールを送信するために使用されます。

- Attestation Reviewers With No Email Defined: どのレビューアにも電子メール・アドレスが定義されていない場合に、「プロセス所有者グループ」のユーザーに電子メールを送信するために使用されます。

14.3 アテステーション猶予期間チェッカー・スケジュール済タスク

アテステーション猶予期間チェッカーと呼ばれるシステムのスケジュール済タスクは、Oracle Identity Managerで定義されているアテステーション・プロセスを調査し、必要なアテステーション・タスクを作成するために使用されます。

アテステーション猶予期間チェッカー・スケジュール済タスクの機能は次のとおりです。

- このスケジュール済タスクが、デフォルトで30分間隔で実行されるように設定されています。これは、必要に応じて変更できます。

- このスケジュール済タスクでは、すべてのアクティブなアテステーション・プロセスを調査します。

15 アイデンティティの証明の使用

この章では、アイデンティティの証明の概要、アイデンティティの証明のユーザー・インタフェースについて、およびアイデンティティの証明の完了方法について説明します。内容は次のとおりです。

- アイデンティティの証明の概要

- 証明のUI

- 証明名の書式

- 証明の検索と表示

- オフライン・モードでのユーザー証明の完了

- 証明レポートの生成

15.1 アイデンティティの証明の概要

この項では、アイデンティティの証明とは何か、それを行う理由、そしてその方法について説明します。また、アイデンティティの証明プロセスの一般的な関係者についても取り上げます。

15.1.1 アイデンティティの証明とは

アイデンティティの証明は、企業内のユーザー権限とアクセス権限をレビューして、ユーザーが認可されていない権限を取得していないことを確認するプロセスです。また、これには、各アクセス権限の承認(証明)または却下(失効化)も含まれいます。

コンプライアンス要件を満たすために、証明を定期的に実行するようにスケジュールできます。マネージャはアイデンティティの証明機能を使用して、アプリケーションやデータにアクセスするための従業員の権限を確認します。マネージャは、アイデンティティの証明モジュールによって報告される変更に基づいて、必要に応じて従業員のアクセスを認可または失効化することができます。

作成できる証明のタイプは4種類です。各証明のタイプで、特定のユースケース(企業が一般に実行するレビューのタイプ)が扱われます。各タイプのレビューアは、アクセス関連のデータの異なるサブセットを特定の視点からレビューします。

表15-1に、Oracle Identity Managerで使用可能な4つのタイプのアイデンティティの証明を示します。

表15-1 4つのタイプのアイデンティティの証明

アイデンティティの証明のタイプ

説明

ユーザー証明

マネージャが従業員のロールへのアクセス、アカウントおよび権限を証明できます。通常、組織内の各マネージャは、直属の部下のアクセス権限をレビューします。このタイプの証明の各レビューアは、自分の直属の部下に重点を置きますが、各直属の部下のすべてのアクセス権限をレビューすることが期待されます。

ユーザー証明では、ライン・オブ・ビジネス(LOB)マネージャの視点からのレビューが最適化されます。LOBマネージャは、自分の直属の部下である各ユーザーのすべてのアクセス権限をレビューする必要があります。

また、ユーザー証明では2フェーズ・レビューがサポートされています。2フェーズ・レビューでは、ユーザー・アクセス権限は最初にマネージャによってレビューされ、続いてその他のIT所有者(ロール所有者、アプリケーション・インスタンス所有者、権限所有者など)によってレビューされます。これらはすべて、1つの証明キャンペーン内で行われます。

ロール証明

ロール所有者がロール・コンテンツやロール・メンバーを証明できます。この証明は、ロールベースのアクセス制御(RBAC)を実装している組織で使用されます。通常、ロールの所有者は、そのロールの定義(つまり、そのロールによってもたらされる一連のアクセス権限)とそのロールのメンバーシップ(そのロールが割り当てられている一連のユーザー)のレビューを担当する人物です。このタイプの証明の各レビューアは、特定のエンタープライズ・ロールに重点を置きます。

ロール証明では、ロール認可者またはロール管理者の視点からのレビューが最適化されます。ロール認可者およびロール管理者は、自分が所有者となっている各ロールの定義とメンバーシップをレビューする必要があります。

アプリケーション・インスタンス証明

この証明では、特定のシステムまたはアプリケーションを担当する人物がそのシステムまたはアプリケーションのアカウントを持つ一連のユーザーをレビューできます。レビューアは各アカウントのアクセス権限の詳細をドリルダウンして表示できます。このタイプの証明の各レビューアは、特定の1つのシステムまたはアプリケーションに重点を置きます。

アプリケーション・インスタンス証明では、アプリケーション・インスタンス認可者またはアプリケーション・インスタンス管理者の視点からのレビューが最適化されます。アプリケーション・インスタンス認可者およびアプリケーション・インスタンス管理者は、自分が所有者となっている各アプリケーションのメンバーシップ(アカウント)と一連の権限(権限割当て)をレビューする必要があります。

権限証明

権限所有者が、特定の権限を持つユーザー・アカウントを証明できます。この証明は、特定の人物が特定の権限(つまり、特定のアクセス権限を付与する属性値またはグループ・メンバーシップ)に対して責任を持っている場合に使用されます。権限所有者は、特定の権限を持つ一連のユーザー・アカウントをレビューできます。このタイプの証明の各レビューアは、1つの特定のリソース内の1つの特定の権限に重点を置きます。

権限証明では、権限認可者または権限管理者の視点からのレビューが最適化されます。権限認可者および権限管理者は、自分が所有者となっている各権限(権限定義)の定義とメンバーシップ(権限割当て)をレビューする必要があります。

スケジュール済ジョブによって、指定された証明の定義に基づいて証明が生成されます。Oracle Identity Managerでは、証明の定義内の選択基準を適用して、レビュー対象およびレビュー実施者となる権限割当て(および/または権限定義)が選択されます。Oracle Identity Managerによって、各プライマリ・レビューアの個別の証明が生成されます。また、各プライマリ・レビューアのレビュー・タスクも生成されます。Oracle Identity Managerでは、プライマリ・レビューアが行項目を別のレビューアに委任または再割当てするたびに新しいレビュー・タスクが生成されます。各レビューアが自分に割り当てられたレビュー・タスクを処理すると、証明全体が更新されます。各証明の全体的進行状況は、ダッシュボードで確認できます。

15.1.2 アイデンティティの証明を完了させる関係者

アイデンティティの証明では、組織の人員がユーザー権限データ、ロール・コンテンツ・データ、アプリケーション・インスタンス・データおよび権限データをレビューして証明できます。次に、一般的にアイデンティティの証明プロセスに関与するユーザーのタイプと、その各ユーザー・タイプが認証または取り消すことができる証明について説明します。Oracle Identity Managerでは、アイデンティティの証明プロセスに関与する人員をレビューアと呼びます。

表15-2に、アイデンティティの証明に関与するレビューアを示します。

表15-2 アイデンティティの証明のレビューア

レビューア名

説明

アクセスできる証明タイプ

証明者

あらゆる種類の証明の確認と完了を担当する人物を示す一般的な用語です。

- ユーザー証明

- ロール証明

- アプリケーション・インスタンス証明

- 権限証明

ユーザー・マネージャ

直属の部下を持つマネージャ。ユーザーはユーザー・マネージャにレポートします。

- ユーザー権限

ビジネス・レビューア

ビジネス主導の視点から他のユーザーのアクセス権限をレビューする、企業内のユーザー。通常、これは、自分の直属の部下であるユーザーのアクセス権限に対して責任を持つライン・オブ・ビジネス(LOB)マネージャです。

注意: LOBは、業種またはビジネス機能のカテゴリです。LOBマネージャは、企業内のビジネス機能(セールスなど)志向です。

- ユーザー証明

- ロール証明

- アプリケーション・インスタンス証明

- 権限証明

プライマリ・レビューア

特定の行項目のセットの証明決定に最終的な責任を持つ人物。プライマリ・レビューアは、行項目を別のユーザーに再割当てできます。その場合、そのユーザーはその行項目の新しいプライマリ・レビューアになり、元のプライマリ・レビューアはその行項目を表示できなくなります。また、プライマリ・レビューアは、自分の行項目のいずれかを別のユーザーに委任することもできます。その場合、そのユーザーはその行項目の委任レビューアになりますが、プライマリ・レビューアは引き続きその行項目に対して責任を持ちます。

- ユーザー証明

- ロール証明

- アプリケーション・インスタンス証明

- 権限証明

テクニカル・レビューア

技術的な視点から他のユーザーのアクセス権限をレビューする、企業内のユーザー。通常、これは、アクセス権限を正しく指定すること、つまり、企業内のアクセスを特定のアクセス権限に限定することに責任を持つITエキスパートまたはアプリケーション所有者です。

- ユーザー証明

委任レビューア

証明作業を補佐するために割り当てられた人物。委任レビューアは、特定の行項目のセットに対する証明決定に副次的な責任を持ちます。ただし、最終的な責任は依然としてプライマリ・レビューアにあります。委任レビューアが行った決定は、最終的にプライマリ・レビューアに返されます。プライマリ・レビューアはその決定をオーバーライドできます。

- ユーザー証明

- ロール証明

- アプリケーション・インスタンス証明

- 権限証明

最終レビューア

証明決定に対する最終決定権を持つ人物。最終レビューアは、他のレビューアの証明決定をレビューして、その決定をオーバーライドできます。

最終レビューは、2フェーズ・レビューの後にのみ(かつ、管理者が最終レビューが有効になるように証明定義を構成している場合のみ)実行されます。1番目のフェーズのプライマリ・レビューアは、最初の2つのフェーズですべてのレビューアによって実行された証明アクションの最終レビューを行うことができます。

- ユーザー証明

15.2 証明のUI

Oracle Identity Self Serviceで次のものを使用して証明オブジェクトを表示し、操作できます。

- 受信ボックス: 「受信ボックス」では、ログイン・ユーザーに割り当てられたすべてのタスクが1つの画面に表示されます。これにより、ログイン・ユーザーはタスク・ビューをフィルタしてユーザー・プリファレンス(割当て済タスク、完了済タスク、情報がリクエストされたタスクなど)に含めることができます。タスクを選択して新しいタブでそのタスクを開き、そのタスクに対して必要なアクションを実行できます。これにより、様々なタブでそれらのタスクを開いて一度に複数のタスクを処理できます。また、受信ボックスでは、タスクを検索して、それらをビューにまとめ、共有ビューを作成することもできます。
受信ボックスにアクセスするには、Oracle Identity Self Serviceにログインし、左側のナビゲーション・ペインで「受信ボックス」をクリックします。

関連項目:

「受信ボックス」の詳細と「受信ボックス」を使用して実行できる操作の詳細は、「証明レビュー・タスクの管理」を参照してください。

- ダッシュボード: アイデンティティの証明ダッシュボードには、システム内の進行中の証明と完了した証明の概要が表示されます。ダッシュボードに表示される証明は、ユーザーのロールによって異なります。証明の管理者または証明ビューアの管理ロールを持つユーザーは、システム内のすべての証明を表示できます。管理ユーザー以外のユーザー(マネージャなど)は、そのユーザーがプライマリ・レビューアとして割り当てられている証明をすべて表示できます。プライマリ・レビューアまたは証明ビューアの管理ロールを持つユーザーは、証明情報を表示できます。証明の管理者の管理ロールを割り当てられたユーザーは、すべての証明を表示でき、進行中の証明に対して基本アクションを実行できます。
ダッシュボードにアクセスするには、Oracle Identity Self Serviceにログインし、左側のナビゲーション・ペインで「証明」の下の「ダッシュボード」をクリックします。

15.3 証明名の書式

証明タスク名は、レビュー・フェーズおよびレビューアによって異なる書式で表示されます。表15-3に、各種レビュー・フェーズでの証明タスク名を示します。

関連項目:

ユーザー証明の複数フェーズ・レビューのレビュー・フェーズの詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のユーザー証明での複数フェーズ・レビューの理解に関する項を参照してください。

表15-3 証明名の書式

レビュー・フェーズ

名前の書式

例

フェーズ1 (P1)

CERT_DEFINITION[ P1_PRIMARY_REVIEWER ]

Q1 Access 2012[ Robert Klein ]

フェーズ1 再割当て

CERT_DEFINITION[ P1_PRIMARY_REVIEWER ]Reassigned[ NEW_PRIMARY_REVIEWER ]

Q1 Access 2012[ Robert Klein ]Reassigned[ Jane Doe ]

フェーズ1 委任

CERT_DEFINITION[ P1_PRIMARY_REVIEWER ]Delegated[ P1_DELEGATED_REVIEWER ]

Q1 Access 2012[ Robert Klein ]Delegated[ Jane Doe ]

フェーズ1 検証

CERT_DEFINITION[ P1_PRIMARY_REVIEWER ]Verification

Q1 Access 2012[ Robert Klein ]Verification

フェーズ2 (P2)

CERT_DEFINITION[ P1_PRIMARY_REVIEWER ]Roles[ P2_TECHNICAL_REVIEWER ]

Q1 Access 2012[ Robert Klein ]Roles[ Terence Hill ]

CERT_DEFINITION[ P1_PRIMARY_REVIEWER ]Application Instances[ P2_TECHNICAL_REVIEWER ]

Q1 Access 2012[ Robert Klein ]Application Instances[ Martha Smith ]

CERT_DEFINITION[ P1_PRIMARY_REVIEWER ]Entitlements[ P2_TECHNICAL_REVIEWER ]

Q1 Access 2012[ Robert Klein ]Entitlements[ Hattori Hanzo ]

フェーズ2 再割当て

CERT_DEFINITION[ P1_PRIMARY_REVIEWER ]Roles[ P2_TECHNICAL_REVIEWER ]Reassigned[ NEW_P2_TECHNICAL_REVIEWER ]

Q1 Access 2012[ Robert Klein ]Roles[ Terrence Hill ]Reassigned[ Jane Doe ]

CERT_DEFINITION[ P1_PRIMARY_REVIEWER ]Application Instances[ P2_TECHNICAL_REVIEWER ]Reassigned[ NEW_P2_TECHNICAL_REVIEWER ]

Q1 Access 2012[ Robert Klein ]Application Instances[ Martha Smith ]Reassigned[ Jane Doe ]

CERT_DEFINITION[ P1_PRIMARY_REVIEWER ]Entitlements[ P2_TECHNICAL_REVIEWER ]Reassigned[ NEW_P2_TECHNICAL_REVIEWER ]

Q1 Access 2012[ Robert Klein ]Entitlements[ Hattori Hanzo ]Reassigned[ Jane Doe ]

フェーズ2 委任

CERT_DEFINITION[ P1_PRIMARY_REVIEWER ]Roles[ P2_TECHNICAL_REVIEWER ]Delegated[ NEW_P2_TECHNICAL_REVIEWER ]

Q1 Access 2012[ Robert Klein ]Roles[ Terrence Hill ]Delegated[ Jane Doe ]

CERT_DEFINITION[ P1_PRIMARY_REVIEWER ]Application Instances[ P2_TECHNICAL_REVIEWER ]Delegated[ NEW_P2_TECHNICAL_REVIEWER ]

Q1 Access 2012[ Robert Klein ]Application Instances[ Martha Smith ]Delegated[ Jane Doe ]

CERT_DEFINITION[ P1_PRIMARY_REVIEWER ]Entitlements[ P2_TECHNICAL_REVIEWER ]Delegated[ NEW_P2_TECHNICAL_REVIEWER ]

Q1 Access 2012[ Robert Klein ]Entitlements[ Hattori Hanzo ]Delegated[ Jane Doe ]

フェーズ2 検証

CERT_DEFINITION[ P1_PRIMARY_REVIEWER ]Roles[ P2_TECHNICAL_REVIEWER ]Verification

Q1 Access 2012[ Robert Klein ]Roles[ Terence Hill ]Verification

CERT_DEFINITION[ P1_PRIMARY_REVIEWER ]Application Instances[ P2_TECHNICAL_REVIEWER ]Verification

Q1 Access 2012[ Robert Klein ]Application Instances[ Martha Smith ]Verification

CERT_DEFINITION[ P1_PRIMARY_REVIEWER ]Entitlements[ P2_TECHNICAL_REVIEWER ]Verification

Q1 Access 2012[ Robert Klein ]Entitlements[ Hattori Hanzo ]Verification

最終レビュー

CERT_DEFINITION[ P1_PRIMARY_REVIEWER ]Final Review

Q1 Access 2012[ Robert Klein ]Final Review

15.4 証明の検索と表示

この項では、受信ボックスおよびダッシュボードでの証明の検索とフィルタの方法について説明します。次の各項では、証明の詳細の表示方法について説明します。

- ダッシュボードでの証明の検索

- ダッシュボードからの証明の表示

15.4.1 ダッシュボードでの証明の検索

証明を検索する手順は、次のとおりです。

1. Oracle Identity Self Serviceにログインします。

2. 左ペインで、「証明」の下の「ダッシュボード」をクリックします。ダッシュボードが開き、表に証明のリストが表示されます。この表は、「名前」、「完了率」、「組織」などの列で構成されています。
表の列として表示される証明の属性の表示/非表示を切り替えるように表をパーソナライズできます。また、表に表示される列の順序を変えることもできます。

3. 列の表示/非表示の切り替えや列の順序の変更を行うには、「検索結果のパーソナライズ」の手順に従います。

4. 「表示」リストで、次のいずれかを選択してダッシュボードに表示される証明のリストをフィルタします。

- 新規と進行中: 自分に割り当てられた証明と進行中の証明が表示されます。

- 新規: 自分に割り当てられた新規の証明のみが表示されます。

- 進行中: 進行中の証明のみが表示されます。

- 有効期限切れ: 終了日が過ぎた証明が表示されます。

- 完了: 完了状態の証明が表示されます。

- すべて: 新規、進行中、有効期限切れの証明など、すべてのタイプの証明が表示されます。

5. 「検索」リストで、次のいずれかを選択して、リストの隣にあるボックスに検索基準を入力します。

- 証明名: 証明名で証明を検索する場合。

- 組織名: その証明用に選択した組織名で証明を検索する場合。

- 作成日: 証明の作成日で証明を検索する場合。

6. 検索アイコンをクリックします。検索基準に一致する証明が表に表示されます。

ヒント:

検索結果表のデータをソートするには、列名の上にマウス・ポインタを置きます。上向きと下向きの矢印が列名の上に表示されます。上向き矢印をクリックすると、昇順にソートされます。下向き矢印をクリックすると、降順にソートされます。

15.4.2 ダッシュボードからの証明の表示

受信ボックスまたはダッシュボードから証明の詳細を開いて表示できます。ただし、ダッシュボードではすべてのユーザーが証明を表示できるわけではありません。ダッシュボードで証明を表示できるのは、プライマリ・レビューア(証明の作成プロセスで証明者として選択されたレビューア)のみです。その他のすべてのユーザーは、受信ボックスでのみ証明タスクにアクセスできます。たとえば、委任レビューアは、ダッシュボードで特定の証明を表示できませんが、受信ボックスで証明タスクを表示できます。同様に、ユーザー証明のフェーズ2のレビューアはダッシュボードで証明を表示できません。

関連項目:

ユーザー証明の複数フェーズ・レビューのレビュー・フェーズの詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のユーザー証明での複数フェーズ・レビューの理解に関する項を参照してください。

ダッシュボードから証明の詳細を開いて表示する手順は、次のとおりです。

1. ダッシュボードを開きます。

2. 詳細を表示する証明を選択します。選択した証明のサマリーが「詳細情報」セクションに表示されます。このセクションは次のタブで構成されています。

- 証明の詳細: 選択した証明の名前、完了率、ロール数、アカウント数、権限数、ユーザー数などの証明属性が表示されます。証明に対してクローズループ是正がアクティブになっている場合は、リクエスト・ページへのリンクも表示されます。
クローズループ是正と是正トラッキングの詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のクローズループ是正と是正トラッキングの理解に関する項を参照してください。「リクエストのトラッキング」ページの詳細は、「リクエストのトラッキング」を参照してください。

- レポート: 証明レポートを作成できます。このタブは、Oracle Identity Managerでレポート・オプションが構成されている場合にのみ表示されます。詳細は、「証明レポートの生成」を参照してください。

3. 「アクション」メニューから「開く」を選択します。または、ツールバーにある「開く」をクリックするか、証明名をクリックして証明を開きます。選択した証明の詳細が証明の詳細ページに表示されます。
受信ボックスとダッシュボードの両方で、証明名をクリックして証明の詳細を開くこともできます。

証明の詳細は表形式で表示されます。表の列の表示/非表示の切り替えおよび順序変更を行うことができます。詳細は、「検索結果のパーソナライズ」を参照してください。さらに、このページに保存された検索機能を使用して詳細を検索できます。保存された検索の作成および使用の詳細は、「保存された検索の使用」を参照してください。

15.5 オフライン・モードでのユーザー証明の完了

ユーザー証明データをローカル・コンピュータにダウンロードして、Oracle Identity Managerとのアクティブ・セッションがなくてもMicrosoft Excelを使用してオフライン・モードでユーザー証明データを処理することもできます。証明に対して決定を行った後、Oracle Identity Managerに接続して決定をアップロードできます。この方法の利用の可否は、Oracle Identity System Administrationで「証明構成」ページの「インタラクティブExcelの有効化」オプションを有効または無効にすることで制御できます。このオプションの詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のIdentity System Administrationでの証明オプションの構成に関する項を参照してください。

注意:

- ユーザー証明データをローカル・コンピュータにダウンロードしてオフライン・モードで処理するオプションは、ユーザー証明のみで使用できます。この機能は、ロール証明、アプリケーション・インスタンス証明および権限証明では使用できません。

- この機能が動作するには、Microsoft Excel 2007または2010が必要です。Microsoft Excelをこの機能用に構成するには、次のURLにある手順を実行してください。
http://docs.oracle.com/cd/E18941_01/tutorials/jdtut_11r2_59/jdtut_11r2_59_1.html

「インタラクティブExcelの有効化」オプションが有効になっている場合は、ユーザー証明の証明の詳細ページと証明のサマリー・ページの「アクション」メニューで「編集可能なExcelにダウンロード」メニュー・オプションが使用可能になります。

オフライン・モードでユーザー証明を処理する手順は、次のとおりです。

1. ダッシュボードまたは受信ボックスでユーザー証明を開きます。

2. 「アクション」メニューから「編集可能なExcelにダウンロード」を選択します。メッセージ・ボックスが開き、ファイルを開くオプションと保存するオプションが表示されます。

3. 「次で開く」を選択します。

4. Microsoft Office Excel (デフォルト)ではなく「Microsoft Office Excel」が選択されていることを確認してください。Microsoft Office Excel (デフォルト)は、この機能のプラグインが有効化されないバージョンのExcelです。

5. 「OK」をクリックします。アプリケーションが実行されているスプレッドシートのダウンロード元のサーバーに接続するかどうかを確認するメッセージ・ボックスが表示されます。

6. 「はい」をクリックします。Oracle Identity Self Serviceにログインするためのページが表示されます。これにより、作業対象のデータをダウンロードする前にセキュリティの別のレイヤーが追加されます。

7. 資格証明を入力してOracle Identity Self Serviceにログインします。ユーザー証明データがスプレッドシートにダウンロードされます。

8. 「証明」タブをクリックします。レコードを処理するときに使用できるオプションのリストが表示されます。図15-1に、「証明」タブを示します。

図15-1 「証明」タブ

「図15-1 「証明」タブ」の説明

9. 各ユーザーのドロップダウンから決定を選択します。決定を選択すると、「変更済」列に変更を示すフラグが表示されます。グレー表示されている領域は読取り専用領域です。この領域で変更を行うことはできません。
「証明」以外の決定は、特定の条件を満たしていないかぎり更新できません。結果的にデータ・アップロードは失敗します。これらのエラーを表示するには、「ステータス」列の下の「エラー」フィールドをダブルクリックします。次に、再度アップロードを試みる前に必要なアクションを実行してエラーを修正できます。実行できるアクションは次のとおりです。

- 失効: コメントが必要です。

- 棄権: コメントが必要です。

- 条件付きで証明: コメントおよび終了日が必要です。

注意:

ユーザーとカタログの両方のユーザー定義フィールド(UDF)データは、スプレッドシートに読取り専用の列として表示されます。

10. 決定の選択が終わったら、「サーバーに保存」をクリックして、データを元のサーバーにアップロードできます。ユーザー証明の画面のユーザー・データが更新されます。

注意:

スプレッドシート・データをアップロードするときに、アプリケーション・インスタンスの決定と権限の決定が異なる場合は、どちらのデータが先にサーバーにアップロードされたかによってサーバー側で権限の決定が上書きされることがあります。つまり、ある順序でダウンロードされたデータは、それと同じ順序でアップロードされます。

たとえば、権限を失効させて、アカウントを「条件付きで証明」として証明した場合、サーバーで権限が更新された後にアカウントが最後に更新されると、その権限も「条件付きで証明」として証明される可能性があります。

回避方法として、Excelファイルをもう一度ダウンロードして、サーバー上で更新された最終値を検証します。

すでに完了した証明のスプレッドシートのダウンロードを試みると、別のバージョンのスプレッドシートがダウンロードされます。このスプレッドシートでは、すべての列が読取り専用としてマークされ、「サーバーに保存」ボタンは使用できません。

15.6 証明レポートの生成

アイデンティティの証明ではOracle BI Publisherレポートが使用されます。これらのレポートでは、Oracle Identity Managerデータベースの証明の表からデータが選択されます。

レポートの書式と内容を制御する特定のテンプレートがあります。たとえば、証明レポートの多くは、各行項目および詳細のアクション履歴からの詳細が含まれているテンプレートと、それらが含まれていないもう1つのテンプレートを備えています。

Oracle Identity Managerでは、事前定義済またはデフォルトの証明レポートのリストが用意されています。表15-4に、証明のタイプ別のデフォルトの証明レポートを示します。

表15-4 デフォルトの証明レポート

証明タイプ

証明レポート

説明

ユーザー証明

完全な証明レポート

ユーザー証明の包括的なデータを提示します。このレポートには、すべての従業員とそのアクセスのリストが含まれます。

証明済アクセス・レポート

証明済とマークされたアクセスをリストします。

失効アクセス・レポート

取消し済とマークされたアクセスをリストします。

棄権済アクセス・レポート

証明者が、そのユーザーに割り当てられたロールおよび権限の検証を担当していないため、完了することを拒否した証明項目をリストします。

条件付き証明済アクセス・レポート

長期的には適切または正当とは認められない可能性があるが、証明者によって一時的に承認されたアクセスをリストします。レビューアは終了日を入力する必要があります。終了日はこのレポートに含められます。ただし、アクセスは失効せず、有効期限終了日に関する通知も送信されません。

完全な証明タスク・レポート

証明タスクに基づいてユーザー証明データを示します。これは、「完全な証明レポート」のサブセットです。

ロール証明

完全な証明レポート

ロール証明の包括的なデータを提示します。

証明済アクセス・レポート

「証明済み」とマークされたエンタイトルメントをリストします。

失効アクセス・レポート

失効として権限をリストします。

棄権済アクセス・レポート

証明者が、そのロールに割り当てられたメンバーシップの検証を担当していないため、完了することを拒否した証明項目をリストします。

条件付き証明済アクセス・レポート

長期的には適切または正当とは認められない可能性があるが、証明者によって一時的に承認されたアクセスをリストします。レビューアは終了日を入力する必要があります。終了日はこのレポートに含められます。ただし、アクセスは失効せず、有効期限終了日に関する通知も送信されません。

完全な証明タスク・レポート

証明タスクに基づいてロール証明データを提示します。これは、「完全な証明レポート」のサブセットです。

アプリケーション・インスタンス証明

完全な証明レポート

アプリケーション・インスタンス証明の包括的なデータを提示します。

証明済アクセス・レポート

「証明済み」とマークされたエンタイトルメントをリストします。

失効アクセス・レポート

「取消し済み」とマークされたエンタイトルメントをリストします。

棄権済アクセス・レポート

証明者が、そのアプリケーション・インスタンスに割り当てられたユーザーおよびアカウントの検証を担当していないため、完了することを拒否した証明項目をリストします。

条件付き証明済アクセス・レポート

長期的には適切または正当とは認められない可能性があるが、証明者によって一時的に承認されたアクセスをリストします。レビューアは終了日を入力する必要があります。終了日はこのレポートに含められます。ただし、アクセスは失効せず、有効期限終了日に関する通知も送信されません。

完全な証明タスク・レポート

証明タスクに基づいてアプリケーション・インスタンスの証明データを提示します。これは、「完全な証明レポート」のサブセットです。

権限証明

完全な証明レポート

権限証明の包括的なデータを提示します。

証明済アクセス・レポート

証明済とマークされたアクセスをリストします。

失効アクセス・レポート

取消し済とマークされたアクセスをリストします。

棄権済アクセス・レポート

証明者が、その権限に割り当てられたアカウントおよび属性の検証を担当していないため、完了することを拒否した証明項目をリストします。

条件付き証明済アクセス・レポート

長期的には適切または正当とは認められない可能性があるが、証明者によって一時的に承認されたアクセスをリストします。レビューアは終了日を入力する必要があります。終了日はこのレポートに含められます。ただし、アクセスは失効せず、有効期限終了日に関する通知も送信されません。

完全な証明タスク・レポート

証明タスクに基づいて権限証明データを提示します。これは、「完全な証明レポート」のサブセットです。

この項の内容は、次のとおりです。

- ダッシュボードからの証明レポートの生成

- 証明ページからのエクスポート済証明レポートの生成

15.6.1 ダッシュボードからの証明レポートの生成

ダッシュボードを使用して証明レポートを生成する手順は、次のとおりです。

1. Oracle Identity Self Serviceで、ダッシュボードに移動します。証明のリストが表示されます。

2. レポートを生成する証明を選択します。選択した証明の「詳細情報」セクションが表示されます。

3. 「レポート」タブをクリックします。

4. 「レポート・タイプ」で、「証明の完了」、「証明済」、「失効」、「棄権済」または「条件付きで証明済」を選択します。

5. 「レポート書式出力」リストから、生成するレポートの書式を選択します(「HTML」や「PDF」など)。

6. 「アクション履歴の表示」オプションを選択して、アクション履歴またはその証明のすべてのレビューアによって実行されたアクションの証跡をレポートに含めます。このオプションの選択を解除すると、アクション履歴は証明レポートに表示されません。

7. 「レポートの生成」をクリックします。選択したオプション(「HTML」や「PDF」など)に証明情報がエクスポートされます。

ヒント:

手順5でレポート書式として「Excel」を選択すると、レポートを開くときにエラー・メッセージが表示されます。これは、Microsoftからのセキュリティ・アラートです。無視してかまいません。ただし、このメッセージが表示されないようにする場合は、次の手順を実行します。

1. Windowsレジストリに移動します。

2. HKEY_CURRENT_USER\Software\Microsoft\Office\12.0\Excel\Securityキーを検索して、そこに移動します。

3. 次の値を設定します。

(DWORD)"ExtensionHardening" = 0

15.6.2 証明ページからのエクスポート済証明レポートの生成

受信ボックスを使用して証明レポートを生成する手順は、次のとおりです。

1. Oracle Identity Self Serviceで、受信ボックスに移動します。証明タスクのリストが表示されます。

2. 進行中の証明タスクの名前をクリックして、その証明タスクの1ページ目を開きます。

3. 「アクション」メニューから「PDFにエクスポート」または「Excelにエクスポート」を選択します。
PDFまたはExcelにエクスポートされた証明タスクは、完全な証明レポートと同等です。

用語集

アクセス・ポリシー

グループのユーザーがプロビジョニングまたはデプロビジョニングされるユーザー・グループおよびリソースのリスト。アクセス・ポリシーは、Oracle Identity Manager Web管理コンソールの「アクセス・ポリシー」メニュー項目を使用して定義されます。

アダプタ

アダプタ・ファクトリによって生成されるJavaクラスで、Oracle Identity Managerと外部.jarファイル、ターゲットITリソース(リソース・アセットなど)またはユーザー定義フォームとのやり取りを可能にします。

アダプタにより、Oracle Identity Managerの内部ロジックと機能が拡張されます。プロセス・タスクが自動化され、Oracle Identity Manager内のフィールドに含まれるデータの自動生成と検証を行うためのルールが定義されます。

アダプタには、タスク割当てアダプタ、タスク・アダプタ、ルール・ジェネレータ・アダプタ、事前移入アダプタおよびエンティティ・アダプタの5つのタイプがあります。

アダプタ・ファクトリ

Oracle Identity Managerで提供されるコード生成ツールで、これによりユーザー管理者がアダプタと呼ばれるJavaクラスを作成できます。

アダプタ・タスク

アダプタ内で使用可能なコンポーネントの1つ。これはアダプタ内の論理ステップで、プログラミング言語のメソッドの呼出しに相当します。使用可能なアダプタ・タスクのタイプは、Javaタスク、リモート・タスク、ストアド・プロシージャ・タスク、ユーティリティ・タスク、Oracle Identity Manager APIタスク、変数設定タスク、エラー・ハンドラ・タスクおよびロジック・タスクです。

アダプタ変数

アダプタ内のユーザー定義プレースホルダで、アダプタ・タスクで使用されるランタイム・アプリケーション・データを含みます。アダプタ変数は、1つのアダプタ内で複数回使用できます。

管理ロール

Oracle Identity Managerに事前定義されているロールで、Oracle Entitlement Serverに定義されているアプリケーション・ロールに1対1でマッピングされます。アプリケーション・ロールはOracle Entitlements Server (OES)の構成メンバーであり、Oracle Identity Managerから表示したり、割り当てることはできません。したがって、OESの各アプリケーション・ロールはOracle Identity Managerの対応する管理ロールを持つことになります。

アプリケーション・インスタンス

ITリソース・インスタンスとリソース・オブジェクト間の共通部分を表すエンティティ。ユーザーは、ITリソース・インスタンスやリソース・オブジェクトではなく、アプリケーション・インスタンスに関連付けられたアカウントと権限を持っている必要があります。現在、Oracle Identity Managerの機能は、ITリソース・インスタンス・レベルで動作するものと、リソース・オブジェクト・レベルで動作するものがあります。このエンティティの導入により、アプリケーション・インスタンス・レベルでは、すべてのアカウントと権限が一貫して識別されるようになります。

Application Program Interface

アプリケーション・プログラムでオペレーティング・システムおよび他のサービスにアクセスするインタフェース(呼出し規則)。APIはソース・コード・レベルで定義され、アプリケーションとカーネル(または他の特権ユーティリティ)の間に一定のレベルの抽象性を提供し、コードの移植性を保証します。

APIは、高レベル言語と、コンパイルした言語でサポートされる呼出し規則を考慮せずに書かれた低レベルのユーティリティおよびサービスとの間のインタフェースも提供します。この場合、APIの主要なタスクは、ある形式から別の形式へのパラメータ・リストの変換と、値呼出しおよび参照呼出し引数の1方向または双方向の解釈です。

アプリケーション・ロール

Oracle Entitlements Serverに事前定義されているロールで、これらの各ロールによって実行可能なポリシーや権限を制御します。

承認ポリシー

承認ポリシーはリクエスト管理の構成可能なエンティティで、リクエスト・レベルおよび操作レベルの承認のみに対してリクエスト・サービスで定義された承認プロセスに、各種リクエスト・タイプを関連付けるのに役立ちます。これは、リクエスト・タイプに対して、リクエスト・レベルまたは操作レベルで開始される承認ワークフローを関連付けます。承認ポリシーを使用して、SOAベース・ワークフローである様々な承認プロセスに各種リクエスト・タイプを関連付けることができます。承認ポリシーによって、リクエスト・データ評価に基づいてどの承認プロセスを起動するかが制御されます。

タスクの承認

承認タスクは、リクエスト・サービスによってインスタンス化され、承認するユーザーまたは管理者のキューにある関連リクエストに対応します。

アテステーション

アテステーションを使用すると、レビューアとして指定されたユーザーは、レビューする必要のあるレポートについて通知を受けることができます。これらのレポートには、他のユーザーの権限について記述されています。レビューアは、レスポンスを入力することにより、これらの権限の正確さをアテストすることができます。

認証プロセス

アテステーション・プロセスは、アテステーション・タスクを設定するメカニズムです。アテステーション・プロセスに必要な入力内容には、アテステーション・タスクを構成するコンポーネントの定義方法、およびタスクを実行する必要のあるスケジュールとアテステーション・タスクを関連付ける方法に関する情報が含まれます。

アテステーション・タスク

アテステーション・アクションは、レビューアが入力したレスポンス、関連コメント、およびレビューアが参照してアテストするデータの監査ビューとともにトラッキングと監査を受け、アカウンタビリティの完全な証跡を残します。Oracle Identity Managerでは、このプロセスはアテステーション・タスクと呼ばれます。

信頼できるIDリコンシリエーション

「信頼できるソース・リコンシリエーション」とも呼ばれ、Oracle Identity Managerでのユーザーの作成、更新および削除に使用されます。

受益者

受益者は、リクエストの完了後に実行されたアクションから利益を得るエンティティですが、このリクエストが完了するのは、リクエストが正常に実行された場合のみです。

バルク・ロード・ユーティリティ

バルク・ロード・ユーティリティは、大量のデータをOracle Identity Managerにロードするプロセスを自動化することを目的としています。データのロードに必要な停止時間の短縮に役立ちます。このユーティリティは、Oracle Identity Managerのインストール後に使用することも、Oracle Identity Managerの本番期間中に随時使用することもできます。バルク・ロード・ユーティリティを使用すると、ユーザー、アカウント、ロール、ロール階層、ロール・メンバーシップおよびロール・カテゴリのデータをOracle Identity Managerにロードできます。

ビジネス・レビューア

ビジネス主導の視点から他のユーザーのアクセス権限をレビューする、企業内のユーザー。通常、これは、自分の直属の部下であるユーザーのアクセス権限に対して責任を持つライン・オフ・ビジネス(LOB)のマネージャです。

コールバック・サービス

コールバック・サービスは、Oracle Identity Managerのイベント処理中に、事前定義済ポイントでデプロイ固有のロジックを呼び出します。コールバック・サービスは、外部アプリケーションがOracle Identity Managerのイベント処理の一環としてなんらかのアクションを実行できるようにする通知およびコールバックをトリガーします。

カタログ

カタログ(リクエスト・カタログとも呼ばれる)は、ロール、権限およびアプリケーション・インスタンスをユーザーがリクエストするときに、一般的なショッピング・カートを使用する方式で、一貫性のある直感的なリクエスト操作を提供します。カタログとは、メタデータの独自のセットを持つ構造化されたコモディティです。

カタログ項目

カタログ項目は、ユーザーが自分自身で、または他のユーザーの代理としてリクエストできる、ロール、権限、アプリケーション・インスタンスなどの1つのエンティティです。

カタログ項目ナビゲーション・カテゴリ

カタログ項目ナビゲーション・カテゴリは、リクエスト・カタログを構成するための1つの方法です。各カタログ項目は1つのカテゴリのみに関連付けられます。これにより、カタログ項目ナビゲーション・カテゴリがカタログ項目の1つの属性になります。カタログ項目の編集とカテゴリ値の指定は、カタログ管理者が実行できます。

証明

アイデンティティの証明は、企業内のユーザー権限とアクセス権限をレビューして、ユーザーが所有を認められていない権限を取得していないことを確認するプロセスです。また、これには、各アクセス権限の承認(証明)または却下(失効化)も含まれいます。

証明定義

証明定義は、証明オブジェクトを生成する証明ジョブへの入力として使用される名前付きパラメータ・セットです。

証明オブジェクト

証明オブジェクトは、特定の証明者またはプライマリ・レビューアに割り当てられた生成済の証明です。各証明オブジェクトは次のもので構成されています。

- 一意の証明ID

- それぞれに一連の詳細が格納された一連の行項目

証明ジョブ

証明ジョブは、リクエストに応じたまたはスケジュールに従った証明の作成に使用されます。証明ジョブは、指定された証明定義に基づいて証明オブジェクトを生成するバックグラウンド実行タスクです。

証明タスク

証明タスクは、証明プロセス内で実行される一連の作業で構成されています。特定のレビューアに割り当てられた各行項目セットは、その行項目セットが含まれたサービス指向アーキテクチャ(SOA)タスクを開始します。SOAタスクはそのレビューアのSOA受信ボックスにルーティングされます。また、SOAコンポーネントは、証明タスクが割り当てられていることをそのレビューアに通知します。

クローズループ是正

クローズループ是正は、Oracle Identity Managerのプロビジョニング・システムを利用して、Oracle Identity Managerの証明プロセスの結果に基づいてアカウント、ロールおよび権限を自動的に失効化する機能です。

接続リソース

コネクタを使用して直接プロビジョニングできるオンラインのターゲット・システム。

コネクタ

Oracle Identity Managerと、Microsoft Active DirectoryやNovell eDirectoryなどの特定のサード・パーティ・アプリケーションとの統合に使用されます。

コネクタ・サーバー

コネクタ・サーバーによってICF Frameworkが実装され、Oracle Identity Managerからターゲット・コネクタのリモート実行が可能になります。Oracle Identity ManagerとICFベースのコネクタ・サーバーの通信はソケット・レイヤーで行われます。

コンテキスト

コンテキストは、Oracle Identity Managerの操作が実行される環境です。たとえば、Oracle Identity Self Serviceによるユーザー作成操作は、Webコンテキストで実行されます。

ダッシュボード

アイデンティティの証明ダッシュボードには、システム内の進行中および完了済の証明の概要が表示されます。ダッシュボードに表示される証明は、ユーザーのロールによって異なります。

データ・フィールド

フォーム内の、情報を入力できる領域(「組織名」など)。データ・フィールドは、入力された情報の格納および表示(場合によっては編集も)に使用されます。

データベース

Oracle Identity Managerでのデータの格納場所。Oracle Identity Managerでは、データベース管理システム(DBMS)と呼ばれるソフトウェア・アプリケーションを使用して、データが制御されます。

委任管理者

管理職責を割り当てられたOracle Identity Managerのユーザー。管理権限は、管理グループ内のメンバーシップを使用して割り当てられます。管理者は、職責下の組織、フォーム、データおよびユーザーにのみアクセス権を持ちます。

委任レビューア

証明作業を補佐するために割り当てられた人物。委任レビューアは、特定の行項目のセットに対する証明決定に副次的な責任を持ちます。ただし、最終的な責任は依然としてプライマリ・レビューアにあります。委任レビューアが行った決定は、最終的にプライマリ・レビューアに返されます。プライマリ・レビューアはその決定をオーバーライドできます。

デプロイメント・マネージャ

デプロイメント・マネージャは、Oracle Identity Manager構成およびカスタマイズのエクスポートおよびインポートに使用するツールです。通常、デプロイメント・マネージャは、あるデプロイメントから別のデプロイメントへ、たとえばテスト・デプロイメントから本番デプロイメントへの構成の移行や、デプロイメントのバックアップの作成に使用されます。

デプロビジョニング

ユーザー、ユーザー・グループまたは組織のリソースへのアクセスを無効にすること。

診断ダッシュボード

診断ダッシュボードはスタンドアロン型のアプリケーションで、Oracle Identity Managerの前提条件の一部を検証し、インストールを確認することができます。

接続なしリソース

接続なしリソースとは、コネクタのないターゲットのことです。したがって、接続なしリソースのプロビジョニングは自動的に処理されないため、手動で実行する必要があります。

電子メール定義

電子メール通知を生成する際に使用される事前定義のテンプレート。電子メール定義は、「電子メール定義」フォームを使用して作成されます。

エンタープライズ・ロール

エンタープライズ・ロールは、カタログを通してリクエストできる、ユーザー定義のロールです。

エンティティ

ユーザー、組織、ロール、権限、アプリケーション・インスタンスなどの管理対象エンティティ。

権限

ターゲット・システムのアカウントに付与される権限により、アカウント所有者(ユーザー)は特定のタスクや機能を実行できます。権限は、アプリケーション・ロール、職責またはグループ・メンバーシップの場合があります。たとえば、ユーザーRichardがターゲット・システムでInventory Analystロールを付与されている場合、Richardはその権限を使用してターゲット・システムの在庫関連レポートにアクセスし、生成できます。

エンティティ所有者

ロール、エンティティ、アプリケーション・インスタンスのすべての所有者は、エンティティに関する追加のメタデータであり、通常は承認、証明などの解決に使用されます。エンティティの所有者には、エンティティ自体の管理権限はありません。

エラー・ハンドラ・タスク

アダプタ・タスクのタイプの1つ。このタイプのアダプタ・タスクは、実行時に発生した、アダプタに関連付けられているエラーの表示に使用されます。また、エラーの理由と考えられる解決策を表示できます。「アダプタ・タスク」を参照してください。

エラー・メッセージ

Oracle Identity Manager内で特定の問題が起きた際に表示される情報テキスト。

イベント

(Oracle Identity Manager、外部システムまたはユーザーによって開始される)アクションやその実行結果。

イベント・ハンドラ

イベント・ハンドラは様々なステージでの編成に登録されているコードの一部です。関連する編成ステージが実行されると、これらのイベント・ハンドラが呼び出されます。

「イベント」を参照してください。

イベント・リスナー

イベント・リスナーは、ユーザーの変更に対応するサービスです。イベント・リスナーはユーザー証明およびアプリケーション・インスタンス証明でサポートされています。

最終レビュー

TPADによる証明の最終フェーズ(オプション)。構成で最終レビューが有効になっている場合、このフェーズで最終レビューア(フェーズ1のプライマリ・レビューア)がフェーズ2で行われた決定を表示しオーバーライドできます。

最終レビューア

証明決定に対する最終決定権を持つ人物。最終レビューアは、他のレビューアの証明決定をレビューして、その決定をオーバーライドできます。最終レビューは、2フェーズ・レビューの後にのみ(かつ、管理者が最終レビューが有効になるように証明定義を構成している場合のみ)実行されます。1番目のフェーズのプライマリ・レビューアは、最初の2つのフェーズですべてのレビューアによって実行された証明アクションの最終レビューを行うことができます。

フォーム

Oracle Identity Managerデータベースでレコードに関連付けられている情報の表示、挿入、編集および削除に使用されるグラフィカル・ユーザー・インタフェース・レイアウト(メカニズム)。フォームは次の2種類のビューとして表示できます。

- 1つのレコードに関連する詳細な情報を含むフォーム・ビュー。

- 複数のレコードに関連する最小限の情報を含む表ビュー。

フォーム・デザイナ

カスタマイズされたフォームの作成に使用されるフォーム。このフォームを使用して作成されたフォームは、プロセスまたはリソース・オブジェクトに関連付けられる必要があります。これらのフォーム(およびフォームを構成するフィールド)は、プロセスまたはリソース・オブジェクトに、プロビジョニングを行うのに必要な追加情報を取得するメカニズムを提供します。

GTC

汎用テクノロジ・コネクタ(GTC)では、アダプタ・ファクトリのカスタマイズ機能を使用せずに、ターゲット・システムやOracle Identity Managerにリンクするカスタム・コネクタを作成できます。

GTCプロバイダ

汎用テクノロジ・コネクタを構成するコンポーネントはプロバイダと呼ばれます。

異種リクエスト

異種リクエストはタイプの異なるエンティティ用に作成されたリクエストです。Oracle Identity Managerでは、ロール、アプリケーション・インスタンス、権限など、本来はタイプが異なるエンティティのリクエストを一度に実行できます。

アイデンティティ・コネクタ

アイデンティティ・コネクタは、Oracle Identity Managerをアプリケーション、ディレクトリおよびデータベースの外部ストアとリンクする目的で開発されたコンポーネントです。このリリースのOracle Identity Managerでは、Identity Connector Framework(ICF)を使用してアイデンティティ・コネクタを開発および構築できます。ICFを使用すると、Oracle Identity Managerが接続先の他のアプリケーションから切り離されます。そのため、アイデンティティ・コネクタを構築およびテストしてから、Oracle Identity Managerと統合できます。

アイデンティティ・コネクタ・サーバー

アイデンティティ・コネクタ・バンドルがアプリケーション内で直接実行されない場合は、アイデンティティ・コネクタ・サーバーが必要です。ICFアーキテクチャでは、1つ以上のアイデンティティ・コネクタ・サーバーを使用することで、アプリケーションと外部にデプロイされたアイデンティティ・コネクタ・バンドルとの通信が可能になります。アイデンティティ・コネクタ・サーバーは、Java(tm)およびMicrosoft .NET Frameworkアプリケーションに対応しています。

アイデンティティ・ストア

すべてのアイデンティティ・データを格納するアイデンティティ・リポジトリ。

受信ボックス

受信ボックスでは、ログイン・ユーザーに割り当てられたすべての承認タスクおよび証明レビュー・タスクが1つの画面に表示されます。これにより、ログイン・ユーザーはタスク・ビューをフィルタしてユーザー・プリファレンス(割当て済タスク、完了済タスク、情報がリクエストされたタスクなど)に含めることができます。タスクを選択して新しいタブでそのタスクを開き、そのタスクに対して必要なアクションを実行できます。これにより、様々なタブでそれらのタスクを開いて一度に複数のタスクを処理できます。受信ボックスにアクセスするには、Oracle Identity Self Serviceにログインし、左側のナビゲーション・ペインで「受信ボックス」をクリックします。

JARファイル

Javaアーカイブ・ファイル。1つ以上のJavaクラス・ファイルを含む圧縮されたアーカイブ・ファイル(.Jar拡張子で示されます)。このファイル形式は、Javaアプリケーションの配布および実行に使用されます。

Javaタスク

「アダプタ・ファクトリ」フォームで使用可能なアダプタ・タスクのタイプの1つ。このタイプのアダプタ・タスクは、Java APIを使用した外部ソースとの通信に使用されます。「アダプタ・タスク」を参照してください。

JavaBean

JavaBeansを使用すると、開発者は再利用可能なソフトウェア・コンポーネントを作成して、それらをビジュアル・アプリケーション・ビルダー・ツールでアセンブルすることができます。Oracle Identity Manager内では、Javaプログラム・モジュールとして、ネットワーク非対応のAPIと双方向の通信をするためにOracle Identity Manager Remote Managerで使用されます。「リモート・マネージャ」を参照してください。

行項目

行項目は、証明のページ1に表示されるデータの行です。各行項目は、特定のアイデンティティまたは権限に関連する一連の権限割当てを収集またはグループ化(証明のタイプによる)します。レビューアは、任意の行項目を開いてその行項目の詳細を表示できます。たとえば、ユーザー証明のフェーズ1では、各行項目はユーザーを表します。ユーザーの詳細を開くと、そのユーザーのアクセス権限が表示されます。

LOB

ライン・オブ・ビジネス(LOB)は、業種またはビジネス機能のカテゴリです。LOBマネージャは、企業内のビジネス機能(セールスなど)志向です。

ロジック・タスク

「アダプタ・ファクトリ」フォームで使用可能なアダプタ・タスクのタイプの1つ。このタイプのアダプタ・タスクは、アダプタ内の条件文(if文、forループ、whileループなど)の作成に使用されます。「アダプタ・タスク」を参照してください。

参照定義

次のものを表す定義。

- テキスト・フィールドの名前と説明。

- 参照フィールドと、その参照フィールドからアクセス可能な値。

- コンボ・ボックス、およびそのボックスから選択可能なコマンド。

参照定義は「参照定義」フォーム(デフォルト・フォームの場合)または「フォーム・デザイナ」フォーム(カスタム・フォームの場合)を使用して作成できます。「参照フィールド」を参照してください。

参照フィールド

ユーザーに事前に定義された値セットを提供するデータ・フィールド。参照フィールドでは、事前に定義されたリストから選択された値のみを有効なエントリとして受け入れます。「データ・フィールド」を参照してください。

参照問合せ

システム・フォーム(「ユーザー」フォーム、「リソース・オブジェクト」フォームなど)のユーザー定義フィールド(UDF)、およびユーザー定義リソースやオブジェクト・フォームのフィールドに対し、Oracle Identity Managerでは参照(参照フィールドおよびコンビネーション・ボックス)を定義できます。参照は、次の2通りの方法で定義されます。

- 参照問合せ: 問合せはフィールドに対し静的に定義され、適切なデータベース表に対して実行されます。

- 参照コード: 項目が参照定義表からリストに表示されます。

(カスタム)参照問合せは、参照問合せをパラメータ・ドリブンにできるよう拡張されました。パラメータ・プロパティはパラメータにマッピングされ、フィルタ列(値がWHERE句で指定される列)およびフィルタ・マップ(値が取得されるソース)を指定できます。拡張自体はJavaクライアント内の既存のフォーム・デザイナ機能の一部として提供されますが、この機能によって行われた更新は、管理者、承認者またはエンドユーザーが更新済フォームにアクセスしたときにWebクライアント上で動的にレンダリングされます。

参照値

参照定義を示すテキスト・フィールド、参照フィールドまたはコンボ・ボックスに関連する情報を含む項目。「参照定義」を参照してください。

管理対象組織

委任管理者に明示的に割り当てられている組織のリスト。関連する管理ロールがユーザーに付与されている組織です。

階層管理

グローバルに適用可能で、すべてのマネージャがそれぞれのレポートを(「ユーザー管理」によって)管理できるようになります。

手動タスク

完了にユーザー・アクションを必要とするプロセス内の任意のタスク。承認プロセスは通常、手動タスクで構成されます。

メタデータ

データに関するデータ。メタデータは、アプリケーションまたは環境内で管理される他のデータに関する情報またはドキュメントを表します。たとえば、メタデータは、データ要素や属性(名前、サイズ、データ型など)、レコードやデータ構造(長さ、フィールド、列など)または物理的な場所や権限(配置場所、関連付けの方法、所有権など)に関する情報の提供に使用されます。Oracle Identity Managerには、Oracle Identity Managerシステムに内部的なシステム・メタデータとプロセス定義などのカスタム・メタデータの2種類のメタデータがあります。

ネストしたルール

他のルール内に含まれた、あるいは組み込まれたルール。

プライマリ以外のアカウント

すでにプライマリ・アカウントを持っているユーザーが同じターゲット・アカウントで他のアカウントをリクエストすると、そのアカウントはプライマリ以外のアカウントになります。1人のユーザーは複数のプライマリ以外のアカウントを持つことができますが、プライマリ・アカウントは1つのみです。

Oracle Identity Manager

アクセス権の管理およびリソースのプロビジョニングを自動化するソフトウェア・プラットフォーム。Oracle Identity Managerは、生産性を高める必要のあるリソースへユーザーをすばやく接続するとともに、占有情報の保護やセキュリティ強化のために無許可アクセスを防止および無効化します。

編成

事前定義済のステージ・セットを通過し、それぞれのステージでビジネス・ロジックを実行するOracle Identity Manager操作のプロセスを編成と呼びます。

パスワード・ポリシー

Oracle Identity Manager内または外部リソースでのパスワードの作成および変更の検証に使用される基準の集まり。ポリシー内の基準は、これに関連付けられたルールに基づき、付加されたリソース・オブジェクトで適用されます。パスワード・ポリシーは、Oracle Identity Managerやサード・パーティ・システム・パスワードに対し定義できます。

パスワード・ポリシー・ルール

特定のリソースまたはOracle Identity Manager内で、パスワードの作成および変更に適用されるパスワード・ポリシーの決定に使用されるルール。パスワード・ポリシー・ルールのタイプは常に「一般」です。「ルール」を参照してください。

フェーズ1

TPADによる証明の1番目のフェーズ(必須)。ユーザー証明では、これはビジネス・レビューです。ロール証明、アプリケーション・インスタンス証明、権限証明などの権限中心の証明の場合、これはテクニカル・レビューです。証明が生成されると、フェーズ1のプライマリ・レビューアにタスクが割り当てられます。プライマリ・レビューアが委任レビューアに作業を分散すると、フェーズ1検証のもう1つのタスクが生成されます。

フェーズ1検証

フェーズ1内の条件付きステージ(またはサブステージ)。Oracle Identity Managerでは、プライマリ・レビューアが行項目を別の人物(委任レビューア)に委任すると、このタスクが作成されプライマリ・レビューアに割り当てられます。このステージでは、フェーズ1で委任レビューアが行った決定を行項目のプライマリ・レビューアがオーバーライドできます。

フェーズ2

TPADによる証明の2番目のフェーズ(オプション)。ユーザー証明では、これはテクニカル・レビューです。権限中心の証明の場合は、これはビジネス・レビューです。証明が生成されると、Oracle Identity Managerは、フェーズ2の各プライマリ・レビューアにタスクを割り当てます。プライマリ・レビューアが、委任レビューアに作業を分散すると、フェーズ2検証のもう1つのタスクが生成されます。

フェーズ2検証

フェーズ2内の条件付きステージまたはサブステージ。プライマリ・レビューアが行項目を別の人物(委任レビューア)に委任すると、システムによってこのタスクが作成されプライマリ・レビューアに割り当てられます。このステージでは、フェーズ2で委任レビューアが行った決定を行項目のプライマリ・レビューアがオーバーライドできます。

プラグイン

プラグインは、Oracle Identity Managerによって提供される機能の機能性を拡張する論理的なコンポーネントです。プラグイン・フレームワークにより、各機能によって提供される機能性を拡張するプラグインを定義、登録および構成できます。プラグインは、事前定義またはカスタム開発でき、プラグイン・ポイントで使用できます。

プラグイン・ポイント

プラグイン・ポイントは、拡張性を追加できる、ビジネス・ロジック内の特定のポイントです。そのようなポイントには、プラグイン・インタフェースと呼ばれるインタフェース定義が付随しています。ビジネス要件に基づいてプラグイン・インタフェースを拡張し、プラグインとして登録できます。

ポリシー責任

ユーザーに、同じ状況で異なる認可ポリシーが適用可能な複数のロールがある場合、そのユーザーのアクセス権はポリシー間の権限の累積になります。たとえば、ユーザーを検索する権限の認可チェックでは、責任のリストが返されます。これは、適用可能な各認可ポリシーからの責任のリストです。複数のポリシーからの責任が組み合されて、統合された検索結果が生成されます。

事前移入アダプタ

ユーザー定義フォームのユーザー定義フィールドへのデータの移入に使用される、5つのOracle Identity Managerアダプタのタイプの1つ。このタイプのルール・ジェネレータ・アダプタは、フォームのカスタム・フィールドまたはカスタム・フォームのフィールドに付加できます。これらのフィールドは、それぞれ、「ユーザー定義フィールドの定義」フォームおよび「フォーム・デザイナ」フォームを使用して作成されます。

「ルール・ジェネレータ・アダプタ」を参照してください。

プライマリ・アカウント

プライマリ・アカウントは、ターゲット・アプリケーションでユーザーに作成される最初のアカウントです。つまり、リクエストされる最初のアプリケーション・インスタンスがプライマリ・アカウントです。Oracle Identity Managerは、1つのアプリケーション・インスタンスに対して複数のアカウントをサポートしています。作成される最初のアカウントはプライマリ・アカウントとしてタグが付けられ、ユーザーにとって唯一のプライマリ・アカウントになります。プライマリ・アカウントには、他のアカウント(プライマリ以外のアカウント)が関連付けられます。ユーザーが権限をリクエストすると、その権限がプライマリ・アカウントに追加されます。

プライマリ・レビューア

特定の行項目のセットの証明決定に最終的な責任を持つ人物。プライマリ・レビューアは、行項目を別のユーザーに再割当てできます。その場合、そのユーザーはその行項目の新しいプライマリ・レビューアになり、元のプライマリ・レビューアはその行項目を表示できなくなります。また、プライマリ・レビューアは、自分の行項目のいずれかを別のユーザーに委任することもできます。その場合、そのユーザーはその行項目の委任レビューアになりますが、プライマリ・レビューアは引き続きその行項目に対して責任を持ちます。

プロセス

1つ以上のプロセス・タスクの集まり(プロセス定義でリクエストされたインスタンスも含む)。「プロセス定義」を参照してください。

プロセス定義

プロセスのすべてのプロパティとプロセスのワークフロー、これを構成するタスクの詳細定義を含むレコード。

プロセス・ステータス

プロセスの現在の実行状態。プロセスのステータスはタスクのステータスによって決定されます。

プロセス・タスク

プロセスのステップまたはコンポーネント(「プロセス定義」フォームで指定されます)。プロセス・タスクは独立していることも相互に依存していることも可能です。

プロセス・タスク・アダプタ

5つのOracle Identity Managerのアダプタ・タイプの1つ。このタイプのアダプタでは、Oracle Identity Managerでのプロセス・タスクの実行を自動化できます。「プロセス・タスク」を参照してください。

プロビジョニング

Oracle Identity Managerポリシーに従ってユーザーにリソースへのアクセス権を付与すること。「デプロビジョニング」を参照してください。

プロビジョニング・ポリシー

リソース・プロビジョニング時にユーザー・グループに適用されるアクセス・ポリシー。プロビジョニング・ポリシーは、リソース・オブジェクトが最終的にユーザーにプロビジョニングできるかどうかを決定する要因の1つです。プロビジョニング・ポリシー定義では、1つ以上のユーザー・グループに許可される、または許可されないリソース・オブジェクトが指定されます。「アクセス・ポリシー」を参照してください。「リソース・オブジェクト」を参照してください。

プロビジョニング・プロセス

2つのOracle Identity Managerのプロセス・タイプの1つ。このタイプのプロセスは、Oracle Identity Managerリソースのユーザーまたは組織へのプロビジョニングに使用されます。

プロビジョニング・ステータス

ユーザーまたは組織にプロビジョニングされるリソース・オブジェクトのステータス。リソース・オブジェクトは、事前定義された9つのステータスの1つを持ちます。

- プロビジョニング: リソース・オブジェクトがリクエストに割り当てられ、承認プロセスおよびプロビジョニング・プロセスが選択されています。

- プロビジョニング済: リソース・オブジェクトによって表されるリソースがユーザーまたは組織にプロビジョニングされました。

- 有効: リソース・オブジェクトによって表されるリソースがユーザーまたは組織にプロビジョニングされました。また、これらのユーザーまたは組織はリソースへのアクセス権を持っています。

- 無効: リソース・オブジェクトによって表されるリソースがユーザーまたは組織にプロビジョニングされました。しかし、これらのユーザーまたは組織はリソースへのアクセス権を一時的に失っています。

- 失効: リソース・オブジェクトによって表されるリソースがユーザーまたは組織にプロビジョニングされました。しかし、これらのユーザーまたは組織は、リソースの使用から恒久的にデプロビジョニングされています。

- 情報の指定: リソース・オブジェクトで表されるリソースをターゲット・ユーザーまたは組織にプロビジョニングするには、追加情報が必要です。

- なし: このステータスはリソース・オブジェクトのプロビジョニング・ステータスを示すものではありません。むしろ、Oracle Identity Managerで選択されたプロビジョニング・プロセスが属するタスクによって、リソース・オブジェクトのステータスが影響を受けないことを示します。

プロビジョニング・タスク

プロビジョニング・タスクとは、リクエストによってインスタンス化されたタスク、ユーザーや管理者のキューで保留中の手動プロビジョニング・タスク、または失敗した自動プロビジョニング・タスクのことを示します。

組織への公開

(Oracle Identity Manager Enterprise Edition内の)ロールのリスト、(Oracle Identity Manager内の)権限およびアプリケーション・インスタンスについて、それぞれのエンティティ管理者が組織に対して使用可能にすること。

問合せ

共通の特性を使用してデータベース内の特定のデータ・レコードを検索する方法。たとえば、「組織」ページ(Oracle Identity Self Service)で実行される一般的な問合せは、特定の組織単位に関連するすべてのレコードの取得です。Oracle Identity Managerには、多数の強力な問合せ構文ツールが組み込まれています。

リコンシリエーション

ターゲット・システムで(従来の方法により)開始されたターゲット・システム・アイデンティティを作成、変更または削除するアクションが、プロビジョニング・システムに伝達および記録されるプロセス。

レコード

1つのデータ単位として編成された、関連する情報項目の集まり(名前、電話番号および住所で構成された1つのレコードなど)。レコードは、この関連する情報を含むデータベースに格納されたエンティティです(これに対し、フォームはユーザーの情報の表示または編集に使用されるメカニズムです)。

是正トラッキング

リクエスト・カタログを使用して、取り消されたアカウント、アカウント内のアクセスまたはロールの是正ステータスをトラッキングできます。各失効リクエストの履行の有無と、履行の日時が記録されます。

Remote Manager

Oracle Identity Managerで、非ネットワーク対応またはネットワーク対応ですが、Oracle Identity Managerサーバーには置かれていないリモート・アプリケーションとの通信を可能にするサーバーです。Remote Managerは、Oracle Identity Managerで、このサード・パーティ・アプリケーションを使用した機能(外部APIに存在するメソッドの呼出しなど)の実行に必要です。

リクエスト

リクエストは特定のアクションを実行するユーザーまたは管理者が作成したエンティティで、アクションを実行するには、誰かまたはなんらかのプロセスから事前に任意の権限を取得しておく必要があります。たとえば、ユーザーはラップトップ・コンピュータへのアクセス権を取得するためのリクエストを作成し、マネージャはそのリクエストに基づいてオープン購買依頼を作成できます。リクエストでは、リクエスタ、受益者(オプション)およびターゲット・エンティティを使用します。

リクエスト・カート

リクエスト・カートには、ユーザーがリクエストしたリクエスト項目のセットが含まれます。リクエスト・カートはユーザー・セッション間で保持されません。

リクエスト・カタログ

リクエスト・カタログは、ユーザーが自分自身で、または他のユーザーの代理として検索、参照およびリクエストできる項目の集まりです。

リクエスト・データセット

リクエスト・データセットは、リクエスト・ライフサイクルの様々なフェーズでどのデータを収集する必要があるかを指定する、XML定義ファイルです。リクエスト・データセットでは、リクエスタや承認者が送信する必要がある属性、属性が必須かどうか、およびUIでどのようにユーザーに対して属性をレンダリングするかを定義できます。データセットの一部として定義されたすべての属性は、属性の動作を定義する一連のプロパティに関連付けられます。また、リクエスト・データセットを使用すると、リクエストのコンテキストにのみ存在する追加属性を定義することもできます。

リクエスト・プロファイル

リクエスト・プロファイルは、管理者によって保存されたカートです。管理者は、カートを保存する前に、カート内の項目に関する追加情報を入力することもできます。たとえば、プロファイルにアプリケーション・インスタンスが含まれる場合、プロファイルの作成中に、管理者はそのアプリケーション・インスタンスのリクエスト・フォーム(データ・セット)を入力することができます。エンド・ユーザーがそのプロファイルでリクエストを作成するときには、必要に応じてフォーム内の情報を変更できます。すべてのユーザーには、すべてのリクエスト・プロファイルへのアクセス権が付与されています。ただし、すべてのユーザーがリクエスト・プロファイル内のすべての項目にアクセスできるとは限りません。

リクエストのステージ

各リクエストは、システムで作成された後、特定のライフサイクルを通過します。このライフサイクルは、リクエスト・サービスによって管理および制御されます。ライフサイクルによって、リクエストは様々なステージに遷移します。リクエストが存在するステージによって、コントローラがそのステップで実行するアクション、リクエストに対してその時点で使用可能な操作、および遷移が可能なステージが決定します。各ステージは、リクエスト・ライフサイクルにおける論理的な次のステップを表しています。リクエストが1つのステージから次のステージに移動できるのは、操作が正常に実行された場合のみです。

リクエスタ

リクエスタは、リクエストを作成または要求するエンティティです。リクエスタは、ユーザーまたはシステム自体の場合があります。システム生成リクエストのリクエスタは、機能コンポーネントによって決定されます。システム生成リクエストの例には、アクセス・ポリシーに基づいてシステムが作成するリクエストがあります。

パスワードのリセット

ユーザーが自分のパスワードを変更できる機能。

ユーザーがOracle Identity Managerに初めて(Oracle Identity Manager Webアプリケーションを使用して)登録する際、ユーザーは本人確認の質問を選択し、この質問への回答を指定する必要があります。Oracle Identity Managerでは、この質問がユーザーのアイデンティティの確認に使用され、パスワードがリセットされます。

リソース

リソース・オブジェクトとも呼ばれます。企業でプロビジョニング制御を行う、任意の単位のハードウェア、ソフトウェアまたはデータ。たとえば、ハードウェア・リソースには、ネットワーク上のサーバーまたはプリンタなどがあります。ソフトウェア・リソースには、プログラム、ユーティリティまたはプログラム内のより小さな要素などがあります。データ・リソースには、アクセス可能なファイルまたはデータベースなどがあります。

Oracle Identity Managerのリソース・オブジェクト定義は、プロビジョニングされるリソースの仮想表現です。たとえば、リソース・オブジェクトは、1つ以上の承認プロセス、プロビジョニング・プロセス、ルールおよびパスワード・ポリシーを持つことができます。

Oracle Identity Managerのリソース・オブジェクト定義は、リソースに関連付けられた各種プロセスとポリシーの制御、およびリソースのプロビジョニング方法を決定するシステム全体に関するオプションの設定に使用されます。

リソース・オブジェクト

「リソース」を参照してください。

ルール

条件との照合、およびこれに基づいたアクションの実行にOracle Identity Managerで使用されるユーザー定義基準。次の5種類のルール(最初の4つは「ルール・デザイナ」フォームを使用して定義)があります。

- 一般: このタイプのルールでは、Oracle Identity Managerにより、ユーザーが自動的にユーザー・グループに追加されます。また、リソース・オブジェクトに割り当てるパスワード・ポリシーも決定されます。

- プロセス決定: このタイプのルールでは、リクエストに関連付けられる標準承認プロセス、およびリソース・オブジェクトに対して選択される承認プロセスとプロビジョニング・プロセスが決定されます。

- タスクの割当て: このタイプのルールは、タスクが割り当てられるユーザーまたはユーザー・グループの決定に使用されます。

- 事前移入: このタイプのルールは、Oracle Identity Managerまたはユーザー定義フォームのカスタム・フィールドへ移入する際に、Oracle Identity Managerで選択する事前移入アダプタの決定に使用されます。「事前移入アダプタ」を参照してください。

- リコンシリエーション: このタイプのルールは、ターゲット・リソースまたは信頼できるソース(Oracle Identity Managerでデータを比較および調整するよう構成した外部システムなど)内のデータへの変更を照合する際に、Oracle Identity Managerで適用する基準の指定に使用されます。リコンシリエーション・ルールは、「リコンシリエーション・ルール」フォームを使用して定義されます。

ルール要素

ルールの論理的なコンポーネント。属性、演算子および値で1つのユニットが構成されます(例: ユーザー・ロール == フルタイム)。

ルール・ジェネレータ・アダプタ

5つのOracle Identity Managerのアダプタ・タイプの1つ。このタイプのアダプタは、フォームのフィールドの値の自動生成、変更と検証、およびこの情報のデータベースへの保存を担います。ルール・ジェネレータによって提供された値は、ユーザーの入力で上書きできます。

サンドボックス

サンドボックスは、メインラインの使用に影響を与えることなくメタデータ・オブジェクトを変更できる、MDSリポジトリ内の領域です。通常、サンドボックスは、メタデータ・オブジェクトの変更をメインラインでの使用に移す前に、その変更をテストするときに使用します。サンドボックスに加えた変更は、サンドボックス内でのみ参照可能です。サンドボックスを公開すると、変更がメインラインにマージされます。

スケジュール済タスク

スケジュール済タスクは、実行されるジョブのメタデータと、そのタスクの実行に必要なパラメータを構成したものです。このメタデータは、事前定義済タスク用に事前定義されています。ユーザーは新規タスクを追加して新規メタデータを構成したり、既存タスクを更新して他の構成詳細用にパラメータの追加や更新を行うこともできます。

スケジューラ

スケジューラにより、事前定義済のスケジュール済タスクを指定された時間に自動的に実行するジョブをスケジュールできます。

自己登録

Oracle Identity Manager Webアプリケーションを使用して、ユーザーがOracle Identity Managerに登録する機能。

スケジュール済ジョブ

ジョブは、指定された間隔で実行されるようにスケジュールできます。異なる時間間隔で実行するようにスケジュールされた複数のジョブを作成できます。ジョブ実行は、ジョブの特定の実行です。各ジョブ実行には開始時間、停止時間、例外および実行のステータスなどの情報が含まれます。

SoD

職務の分離(SoD)は、ビジネス・プロセスにチェック・アンド・バランスを適用することを目的としています。Oracle Identity ManagerでのSoD検証プロセスは、ユーザーが特定のターゲット・システムでの権限に対するリクエストを作成すると開始されます。リクエストはリソース承認ワークフローを通り、その初期ワークフローをパスした場合はプロビジョニング・ワークフローを通ります。ユーザーのリクエストがSoD検証にパスし、承認者がリクエストを承認した場合、リソース・プロビジョニング・ワークフローが開始されます。リクエストがSoD検証に失敗した場合、改善ステップが行われるようにリソース承認ワークフローを構成できます。

SPML

Oracle Identity Managerは、クライアント・アプリケーションに対してService Provisioning Markup Language (SPML)を利用するアイデンティティ管理サービスを提供し、アイデンティティを管理します。

ストアド・プロシージャ

特定のデータベース・スキーマ内にあるSQLプログラム。ストアド・プロシージャには、効率を高めるために事前にコンパイルされたSQL文などの情報が含まれています。「ストアド・プロシージャ・タスク」を参照してください。

ストアド・プロシージャ・タスク

アダプタ・タスクのタイプの1つ。このタイプのアダプタ・タスクにより、Oracle Identity Managerで特定のデータベース・スキーマ内にあるSQLプログラムにマップして実行できます。Oracle Identity Managerでは、これらのプログラムはストアド・プロシージャと呼ばれます。

ストアド・プロシージャ・タスクをアダプタに組み込み、そのアダプタをプロセス・タスクに付加すると、すべてのOracle DatabaseまたはSQLServerデータベース(ネットワークでアクセス可能なことが前提)で、Oracle Identity Managerからストアド・プロシージャを使用できるようになります。これには、ストアド・プロシージャからのプリミティブ値の取得が含まれます。「アダプタ・タスク」を参照してください。「ストアド・プロシージャ」を参照してください。

システム・プロパティ

システム・プロパティは、Oracle Identity Managerの動作を管理する特性を定義します。システム・プロパティを使用して、Oracle Identity System AdministrationおよびOracle Identity Self Serviceなどのコンソールの機能を定義できます。

ターゲット・エンティティ

ターゲット・エンティティは、受益者のためにリクエストされるリソースまたはエンティティです。

ターゲット・リソース

Oracle Identity Managerを使用して、アクセス権をユーザーまたは組織にプロビジョニングする外部リソースまたはアプリケーション。

Oracle Identity Managerのリコンシリエーション機能のコンテキストでは、この用語はより具体的な意味を持ちます。Oracle Identity Managerがリコンシリエーションを実施するように設定されているリソースを表すときに使用します。Oracle Identity Managerが信頼できるソースからのプライマリ・ユーザー・レコードの変更のみを受け入れるという点で、ターゲット・リソースは信頼できるソースとは異なります。Oracle Identity Managerがリコンシリエーションを実施する、他の外部アプリケーションすべてをターゲット・リソースと呼びます。

ターゲット・リソース・リコンシリエーション

Oracle Identity Managerでユーザーにプロビジョニングされているリソースの作成、更新、失効を伴うリコンシリエーションを指します。アカウント検出、孤立したアカウントの検出、統制外アカウントの検出およびダイレクト管理検出はすべて、このタイプのリコンシリエーションに固有の事例です。

タスク割当てアダプタ

このアダプタによって、Oracle Identity Managerでプロセス・タスクのユーザーまたはグループへの自動割当てが可能になります。タスク割当てアダプタは、タスク・リクエスト内のパラメータを基にタスクを動的に割り当てるように記述できます。新規タスク割当てアダプタは、タスク割当てルールと関連付けられます。

「タスクの編集」フォーム(「プロセス定義」フォームでネスト)の「割当て」タブでは、ルールがタスクに付加され、ユーザーまたはグループが現在のタスクに割り当てられるが、タスク割当てアダプタによって、このタブを使用したタスクの割当てメカニズムが強化されます。

テクニカル・レビューア

技術的な視点から他のユーザーのアクセス権限をレビューする、企業内のユーザー。通常、これは、アクセス権限を正しく指定すること、つまり、企業内のアクセスを特定のアクセス権限に限定することに責任を持つITエキスパートまたはアプリケーション所有者です。

ツールバー

Oracle Identity Manager Design Consoleウィンドウの上端に並ぶボタンのセットで、よく使用する機能にアクセスできます。ポインタをボタンの上に移動し、マウスの左ボタンをクリックすると、そのボタンの機能が実行されます。ボタンの上にマウス・ポインタを移動すると、そのボタンのツールチップが表示されます。

TPAD

コラボレイティブ証明または拡張委任による2フェーズ・レビュー(TPAD)は次の機能を備えています。

- 2フェーズ・レビュー。これにより、1つの証明内でビジネス志向のレビューアの視点とテクニカル・レビューアの視点を結合できます。

- 拡張委任。これにより、証明者は全体的責任を保持しながら、他のユーザーに決定を委任できます。証明内の個別の行項目を拡張委任すると、レビューアは複数のユーザー間で作業を分散して、各自が同時に作業を進めることができます。これにより、企業内のアクセスのレビューに責任を持つユーザーは、負荷を分散することでより迅速に作業を完了できます。

信頼できる証明書

外部アプリケーションに対するユーザーのパスワードが正しい場所からOracle Identity Managerに転送されているかどうかを検証するデジタルID。

信頼できるソース

Oracle Identity Managerのデータに対するリコンシリエーション用の一意のキーが定義されているリソース・オブジェクト。信頼できるソースは、Oracle Identity Managerがユーザー・レコード定義の変更を受け入れるリソース・オブジェクトです。信頼できるソースが複数ある場合もあり、信頼できるソースごとに複数のキーがある場合もあります。

信頼できるソース・リコンシリエーション

「信頼できるIDリコンシリエーション」を参照してください。

UDF

エンティティ属性は、エンティティのプロパティです。ユーザー・エンティティに関する情報は、名、姓、ユーザー・ログイン、パスワードなどの属性の形で格納されます。Oracle Identity Managerにはデフォルトのユーザー属性があります。ただし、Oracle Identity System Administrationのフォーム・デザイナを使用すると、カスタム・ユーザー属性を作成できます。このカスタム属性をユーザー定義フィールド(UDF)と呼びます。Oracle Identity Managerでは、ユーザー、ロール、組織およびカタログの各エンティティのUDFを作成できます。

ユーザー

Oracle Identity Manager内にアカウントとログイン資格証明を持つ人。Oracle Identity Managerには、2つの異なるタイプのユーザーがあります。

- エンドユーザー管理者: このタイプのユーザーは、JavaまたはWebバージョンのOracle Identity Managerを使用できます。エンドユーザー管理者は、企業のエンドユーザーに対するOracle Identity Managerの構成を担います。

- エンドユーザー: このタイプのユーザーは、Oracle Identity Manager Webアプリケーションのみにアクセスできます。エンドユーザーは、通常、Oracle Identity Managerでの基本的な機能のみを使用します。

索引

A  B  C  D  E  F  H  I  L  M  N  O  P  Q  R  S  T  U  V  W

A

アクセス

管理, 7

ロール, 7.1

変更, 7.1.2

削除, 7.1.3

リクエストの内容, 7.1.1

アクセス・リクエスト・カタログ, 8, 9.8.2 アクセシビリティ, 2.2.1.1 アカウント

無効化, 7.3.4, 11.4.4.4.5

有効化, 7.3.5, 11.4.4.4.6

ロック,11.4.8

管理, 7.3

変更, 7.3.2, 11.4.4.4, 11.4.4.4.2

プライマリ以外, 11.4.4.4.1

プライマリ, 11.4.4.4.1, 11.4.4.4.4

プロビジョニング, 13.8.3.7.1

削除, 7.3.3

ユーザーからの削除, 11.4.4.4.3

リクエスト, 7.3.1, 11.4.4.4.1

組織からの失効, 13.8.3.7.2

タイプ, 11.4.4.4.1

ロック解除, 11.4.9

管理ロール, 7.4, 13.5

付与, 13.8.3.5.1

管理, 13.8.3.5

失効, 13.8.3.5.2

管理ロール、表示, 7.4 管理, 2.2.2.6 承認タスク, 10.2

添付ファイルの追加, 10.2.4

コメントの追加, 10.2.4

承認, 10.2.5

委任, 10.2.7

再割当て, 10.2.7, 10.2.7

却下, 10.2.6

検索, 10.2.2

一時停止, 10.2.8

タスクの詳細, 10.2.3, 10.2.3

表示, 10.2.1

取消し, 10.2.9

アテステーション・ダッシュボード

電子メール通知, 14.2

スケジュール済タスク, 14.3

アテステーション・リクエスト詳細の表示, 14.1

アテステーション・タスク, 10.5

リクエストの詳細, 10.5.2

検索, 10.5.1

B

受益者, 9

バルク・リクエスト, 9.2

C

カタログ

検索結果の絞込み, 8.1.1

カタログ項目

カートに追加, 8.2

変更, 8.1

カートからの削除, 8.2

表示, 8.1

カタログベースのリクエスト, 9.5 証明, 15.1.1

ダッシュボード, 15.2

レポートの生成, 15.6

受信ボックス, 15.2

名前書式, 15.3

レポート, 15.6

レビューア, 15.1.2

タイプ, 15.1.1

証明レポート, 15.6 証明, 2.2.2.5 証明

完了, 10.3.2

オフライン・モード, 15.5

検索と表示, 10.3.1, 15.4

チャレンジ質問および回答, 6.3 子組織

削除, 13.8.3.2.2

無効化, 13.8.3.2.3

有効化, 13.8.3.2.4

開く, 13.8.3.2.5

子リクエスト, 9.2 共通名, 11.6 共通名の生成, 11.6

ユーザー操作の作成, 11.6.1

ユーザー操作の変更, 11.6.2

証明の完了, 10.3.2

アプリケーション・インスタンス証明, 10.3.2.3

権限証明, 10.3.2.4

オフライン・モード, 15.5

ロール証明, 10.3.2.2

ユーザー証明, 10.3.2.1

構成

ユーザー名ポリシー, 11.5.2

作成

子組織, 13.8.3.2.1

カスタム・ユーザー名ポリシー, 11.5.3

組織, 13.8.2

リクエスト, 9.8

リクエスト・プロファイル, 9.7.1

ロール・カテゴリ, 12.5.3.1

ロール, 12.5.1, 12.5.1

保存済の検索, 5.4.1

ユーザー, 11.4.2

カスタマイズ, 2.2.1.3

D

ダッシュボード, 15.2

デフォルト・ロール, 12.4, 12.4

デフォルト・ロール・カテゴリ, 12.5.3

委任管理, 1.1.7

削除

検索基準の属性, 5.2

カタログ項目, 8.2

子組織, 13.8.3.2.2

コンテナ, 5.1.3

組織, 13.8.5, 13.8.5

プロキシ, 6.5.3

リクエスト・プロファイル, 9.7.3

ロール・カテゴリ, 12.5.3.4

ロール, 12.5.2.4

保存済の検索, 5.4.3

ユーザー・メンバーシップ・ルール, 12.5.2.2.9

ユーザー, 11.4.7

直接的な操作, 9.4 直属の部下

変更, 6.4.1, 11.4.4.5

表示, 6.4.1

無効化

アカウント, 7.3.4, 11.4.4.4.5

子組織, 13.8.3.2.3

組織, 13.8.4

プロビジョニングされたアカウント, 13.8.3.7.4

ユーザー名の予約, 11.5.1

ユーザー, 11.4.5

E

有効化

アカウント, 7.3.5, 11.4.4.4.6

子組織, 13.8.3.2.4

組織, 13.8.4

プロビジョニングされたアカウント, 13.8.3.7.5

ユーザー名の予約, 11.5.1

ユーザー, 11.4.6

権限

管理, 7.2

削除, 7.2.2

リクエスト, 7.2.1

エンティティ定義

組織, 13.2

ロール, 12.3

ユーザー, 11.2

パスワード・ポリシーの評価, 13.7

F

特徴, Oracle Identity Manager, 1.1

パスワードを忘れた場合, 4.3

ユーザー・ログインを忘れた場合, 4.2

H

ヘルプ, 2.2.1.4

異種リクエスト, 9.3

I

アイデンティティの証明, 15.1.1

タイプ, 15.1.1

Identity Self Service

ログイン, 2.1

ログイン, 4.1

概要, 2.2

登録, 3.1

登録リクエスト, 3.1

登録リクエストのトラッキング, 3.2

受信ボックス, 2.2.2.2, 15.2

L

UIでのページのレイアウト, 2.2

ロック、アカウント, 11.4.8

Oracle Identity Self Serviceへのログイン, 2.1, 4.1

M

管理

アクセス, 7

アカウント, 7.3

管理ロール, 13.8.3.5

承認タスク, 10.2

アテステーション・タスク, 10.5

権限, 7.2

組織, 13

プロビジョニング・タスク, 10.4

リクエスト, 9

ロール, 12, 12.5.2

タスク, 10

ユーザー・プロファイル, 6

ユーザー, 11, 11.4

変更

アカウント, 11.4.4.4, 11.4.4.4.2

カタログ項目, 8.1

組織, 13.8.3

リクエスト・プロファイル, 9.7.2

ロール・カテゴリ, 12.5.3.3

ユーザー・メンバーシップ・ルール, 12.5.2.2.9

ユーザー, 11.4.4

変更

直属の部下, 11.4.4.5

プロファイル, 2.2.2.3

N

カタログベース以外のリクエスト, 9.5

プライマリ以外のアカウント, 11.4.4.4.1

O

OIMアカウント, 11.1.1

Oracle Identity Manager, 1

登録, 3.1

組織およびロール管理, 1.1.10 組織, 11.1.2, 13

属性, 13.8.3.1

子組織, 13.8.3.2

作成, 13.8.2

子組織の作成, 13.8.3.2.1

委任管理, 13.1

削除, 13.8.5, 13.8.5

子組織の削除, 13.8.3.2.2

子組織の無効化, 13.8.3.2.3

有効化と無効化, 13.8.4

子組織の有効化, 13.8.3.2.4

エンティティ定義, 13.2

管理, 13

メンバー, 13.8.3.3

子組織を開く, 13.8.3.2.5

エンティティのパブリッシュ, 13.4

スコープと階層, 13.3

検索, 13.8.1

表示と変更, 13.8.3

P

親リクエスト, 9.2

パスワード管理, 1.1.8

高度, 1.1.8

セルフ・サービス, 1.1.8

同期化, 1.1.8

パスワード・ポリシー, 13.7 パスワード・ポリシーの評価, 13.7 パーソナライズ, 2.2.2.1, 5

保存済検索の作成, 5.4.1

保存済検索の削除, 5.4.3

「ホーム」ページ

コンテナの追加, 5.1.1

「ホーム」ページのレイアウトの変更, 5.1.5

コンテナの編集, 5.1.2

コンテナの移動, 5.1.4

コンテナの削除, 5.1.3

保存済の検索, 5.4.2 検索条件, 5.2 検索結果, 5.3 プライマリ・アカウント, 11.4.4.4.1, 11.4.4.4.4 プロビジョニングされたアカウント, 13.8.3.7 プロビジョニング, 1.1.9 プロビジョニング・タスク, 10.4

メモの追加, 10.4.4

割当て履歴, 10.4.6

フォームの詳細, 10.4.7

手動による完了, 10.4.10

フォームの詳細の変更, 10.4.8

再割当て, 10.4.5

再試行, 10.4.9

検索, 10.4.1

レスポンスの設定, 10.4.3

タスクの詳細, 10.4.2

公開, 12.5.2.2.11 ロールの公開, 12.5.2.2.11

Q

例による問合せ、検索結果の絞込み, 5.6

R

登録リクエスト, 3

送信, 3.1

トラッキング, 3.2

削除

アカウント, 7.3.3

ユーザーのアカウント, 11.4.4.4.3

カタログ項目, 8.2

権限, 7.2.2

ユーザーの権限, 11.4.4.3

親ロール, 12.5.2.2.4

割り当てられたロール, 7.1.3

ユーザーのロール, 11.4.4.2

リクエスト

カタログベース

アプリケーション・インスタンス・リクエスト, 9.5

権限リクエスト, 9.5

ロール・リクエスト, 9.5

作成, 9.8 リクエスト・カタログ, 8, 9.8.2 リクエスト・カテゴリ, 9.5 リクエストの失敗, 9.6 リクエスト・プロファイル, 9.7, 9.8.3

作成, 9.7.1

削除, 9.7.3

変更, 9.7.2

リクエストのステージ, 9.1 リクエスタ, 9 リクエスト, 2.2.2.4 リクエスト, 9, 9.4

アプリケーション・インスタンス, 9.5

受益者, 9

バルク・リクエスト, 9.2

カタログベース, 9.5

カテゴリ, 9.5

子リクエスト, 9.2

クローズ, 9.11

権限, 9.5

失敗, 9.6

異機種間, 9.3

管理, 9

カタログベース以外, 9.5

親リクエスト, 9.2

プロセス・フロー, 9

リクエスタ, 9

ロール, 9.5

ステージ, 9.1

ターゲット・エンティティ, 9

トラッキング, 9.9

取消し, 9.10

ロール・カテゴリ, 12.5.3

作成, 12.5.3.1

削除, 12.5.3.4

変更, 12.5.3.3

検索, 12.5.3.2

ロール・カテゴリ、デフォルト, 12.5.3 ロール, 11.1.3, 12

メンバーシップ・ルールの追加, 12.5.2.2.9, 12.5.2.2.9

メンバーの割当て, 12.5.2.2.7

属性, 12.5.2.2.1

作成, 12.5.1, 12.5.1

デフォルト, 12.4, 12.4

削除, 12.5.2.4

メンバーシップ・ルールの削除, 12.5.2.2.9, 12.5.2.2.9

エンティティ定義, 12.3

階層, 12.5.2.2.2

継承先, 12.2, 12.5.2.2.2

継承元, 12.2, 12.5.2.2.2

管理, 12, 12.5.2

メンバー, 12.5.2.2.6

メンバーシップの継承, 12.1

メンバーシップ・ルールの変更, 12.5.2.2.9, 12.5.2.2.9

子ロールを開く, 12.5.2.2.5

親ロールを開く, 12.5.2.2.5

権限の継承, 12.2

組織への公開, 12.5.2.2.11

親ロールの削除, 12.5.2.2.4

メンバーの失効, 12.5.2.2.8

組織の失効, 12.5.2.2.12

検索, 12.5.2.1

表示と管理, 12.5.2.2

S

サンドボックス, 2.2.1.2

検索

承認タスク, 10.2.2

アテステーション・タスク, 10.5.1

結果に対する操作, 11.4.1.1

組織, 13.8.1

プロビジョニング・タスク, 10.4.1

ロール・カテゴリ, 12.5.3.2

ロール, 12.5.2.1

ユーザー, 11.4.1

検索演算子, 8.1.2 証明の検索と表示, 10.3.1, 15.4 セルフ・サービス機能, 1.1.7

プロファイル管理, 1.1.7

リクエスト管理, 1.1.7

単純検索

結果に対する操作, 11.4.1.1

データのソート, 5.5 サポート対象, 8.1.2

T

ターゲット・エンティティ, 9

タスク

管理, 10

TaskList, 10 タスク, 10

承認タスク, 10, 10.2

アテステーション・タスク, 10, 10.5

証明レビュー・タスク, 10

プロビジョニング・タスク, 10, 10.4

U

ロック解除、アカウント, 11.4.9

ユーザー属性, 11.2

ユーザー・ライフサイクル, 11.1

ユーザー・プロファイル

チャレンジ質問および回答, 6.3

直属の部下, 6.4

管理, 6

パスワード, 6.2

プロファイル属性, 6.1

プロキシ, 6.5

追加, 6.5.1

編集, 6.5.2

削除, 6.5.3

ユーザー名, 11.5

ポリシー構成, 11.5.2

解放, 11.5.4

ユーザー名ポリシー、作成, 11.5.3 ユーザー名の予約, 11.5

有効化と無効化, 11.5.1

ユーザー, 11

権限の追加, 11.4.4.3

ロールの追加, 11.4.4.2

属性, 11.2

作成, 11.4.2

削除, 11.4.7

無効化, 11.4.5

ユーザー属性の編集, 11.4.4.1

有効化, 11.4.6

エンティティ定義, 11.2

ライフサイクル, 11.1

管理, 11, 11.4

変更, 11.4.4

OIMアカウント, 11.1.1

権限の削除, 11.4.4.3

ロールの削除, 11.4.4.2

権限のリクエスト, 11.4.4.3

検索, 11.4.1

詳細の表示, 11.4.3

V

表示

管理ロール, 7.4

承認タスクの詳細, 10.2.3

承認タスク, 10.2.1

アテステーション・タスク・リクエストの詳細, 10.5.2

カタログ項目, 8.1

直属の部下, 6.4

フォームの詳細, 10.4.7

組織, 13.8.3

プロビジョニングされたアカウントの詳細, 13.8.3.7.3

プロビジョニングされたアカウント, 13.8.3.7

プロビジョニング・タスクの割当て履歴, 10.4.6

プロビジョニング・タスクの詳細, 10.4.2

ユーザーの詳細, 11.4.3

W

ワークフローおよびポリシー

プロビジョニング解除, 1.1.9

プロビジョニング, 1.1.9

カスタム・ユーザー名ポリシーの記述, 11.5.3

Copyright © 1991, 2013, Oracle and/or its affiliates. All rights reserved.