Oracle® Fusion Middleware

Oracle Identity Management Suite統合ガイド

11gリリース2 (11.1.2.1.0)

B71104-03(原本部品番号:E27123-07)

2013年9月

Oracle Identity Managementコンポーネントの統合方法について説明します。

Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド, 11g リリース2 (11.1.2.1.0)

B71104-03

Copyright © 2012, 2013,  Oracle and/or its affiliates. All rights reserved.

原本主著者: Debapriya Datta、Ellen Desmond、KC Francis、Trish Fuzesy、Kevin Kessler、Priscilla Lee、Vinaye Misra

原本協力著者: Damien Carru、Pratima Gogineni、Ari Kermaier、Maya Neelakandhan、Alok Pathak、Bhupinder Singh、Catherine Wong

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

このソフトウェアまたは関連ドキュメントが、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供される場合は、次のNoticeが適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations. As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs. No other rights are granted to the U.S. Government.

このソフトウェアまたはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアまたはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用する際、このソフトウェアまたはハードウェアを安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアまたはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

OracleおよびJavaはOracle およびその関連企業の登録商標です。その他の名称は、他社の商標の可能性があります。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXはThe Open Groupの登録商標です。

このソフトウェアまたはハードウェアおよびドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。

目次

図一覧

表一覧

タイトルおよび著作権情報

はじめに

- 対象読者

- ドキュメントのアクセシビリティについて

- 関連ドキュメント

- 表記規則

新機能

- 11gリリース2 (11.1.2.1.0)の2013年9月のドキュメント改訂における更新

- 11gリリース2 (11.1.2.1.0)の2013年7月のドキュメント改訂における更新

- 11gリリース2 (11.1.2.1.0)の2013年5月のドキュメント改訂における更新

- 11g リリース2 (11.1.2.1.0)の新機能と変更機能

- 11gリリース2 (11.1.2)の2012年11月のドキュメント改訂における更新

- 11gリリース2 (11.1.2)の2012年8月のドキュメント改訂における更新

- 11g リリース2 (11.1.2)の新機能と変更機能

- 11g リリース2 (11.1.2)に関するこのドキュメントにおけるその他の大きな変更

第I部 IdM統合トポロジとツール

1 概要

- 1.1 統合の前提条件

- 1.2 統合トポロジ

- 1.2.1 基本統合トポロジ

- 1.2.1.1 シングル・ドメイン・アーキテクチャ

- 1.2.1.2 ダブル(分割)ドメイン・アーキテクチャ

- 1.2.1.3 3層アーキテクチャ

- 1.2.1.4 Web層の理解

- 1.2.1.5 アプリケーション層の理解

- 1.2.1.6 データ層の理解

- 1.2.2 エンタープライズ統合トポロジ

- 1.2.3 アイデンティティ・ストアに対する複数ディレクトリの使用方法

- 1.2.4 統合の用語

- 1.3 Oracle Identity Managementのコンポーネントについて

- 1.3.1 Oracle Internet Directory

- 1.3.2 Oracle Virtual Directory

- 1.3.3 Oracle Access Management Access Manager

- 1.3.3.1 IDMDomainエージェントおよびWebゲートに関する注意

- 1.3.4 Oracle Identity Manager

- 1.3.5 Oracle Adaptive Access Manager

- 1.3.6 Oracle Access Management Identity Federation

- 1.3.7 Oracle Identity Navigator

- 1.4 統合のクイック・リンク

- 1.5 一般的な統合のシナリオ

- 1.5.1 リソース保護および資格証明収集のシナリオ(高度な統合)

- 1.5.1.1 ケース1: ユーザーはAccess Managerとステップアップ認証を実行するOracle Adaptive Access Managerによって認証される

- 1.5.1.2 ケース2: ユーザーはAccess Managerによって認証されない

- 1.5.1.3 ケース3: ユーザーはAccess Managerによって認証され、Oracle Adaptive Access Managerはステップアップ認証を実行しない

- 1.5.2 リソース保護および資格証明収集のシナリオ(基本統合)

- 1.5.3 パスワード管理シナリオ

- 1.5.3.1 Access ManagerをOracle Identity Managerと統合する場合

- 1.5.3.2 自己登録

- 1.5.3.3 パスワードの変更

- 1.5.3.4 パスワードを忘れた場合

- 1.5.3.5 アカウントのロックとロック解除

- 1.5.3.6 チャレンジの設定

- 1.5.3.7 チャレンジのリセット

- 1.6 システム要件および動作保証

- 1.7 My Oracle Supportを使用したその他のトラブルシューティング情報

2 idmConfigToolコマンドの使用方法

- 2.1 このツールについて

- 2.1.1 このツールはいつ使用するのか

- 2.1.2 このツールによって実行されるタスク

- 2.1.3 このツールによってサポートされるコンポーネント

- 2.1.4 場所

- 2.1.5 サポートされるWebゲートのタイプ

- 2.1.6 シングル・ドメインとクロス・ドメインのシナリオ

- 2.2 環境変数の設定

- 2.3 構文と使用方法

- 2.3.1 コマンド構文

- 2.3.2 要件

- 2.3.3 生成されるファイル

- 2.3.4 プロパティ・ファイルの使用方法

- 2.3.4.1 プロパティ・ファイルについて

- 2.3.4.2 プロパティのリスト

- 2.3.5 ログ・ファイルのクリーン・アップ

- 2.4 コマンド・オプションとプロパティ

- 2.4.1 preConfigIDStoreコマンド

- 2.4.2 prepareIDStoreコマンド

- 2.4.2.1 prepareIDStore mode=OAM

- 2.4.2.2 prepareIDStore mode=OIM

- 2.4.2.3 prepareIDStore mode=OAAM

- 2.4.2.4 prepareIDStore mode=WLS

- 2.4.2.5 prepareIDStore mode=WAS

- 2.4.2.6 prepareIDStore mode=APM

- 2.4.2.7 prepareIDStore mode=fusion

- 2.4.2.8 prepareIDStore mode=all

- 2.4.3 configPolicyStoreコマンド

- 2.4.4 configOAMコマンド

- 2.4.5 configOIMコマンド

- 2.4.6 postProvConfigコマンド

- 2.4.7 upgradeLDAPUsersForSSOコマンド

- 2.4.8 validate IDStoreコマンド

- 2.4.9 validate PolicyStoreコマンド

- 2.4.10 validate OAMコマンド(11g)

- 2.4.11 validate OAMコマンド(10g)

- 2.4.12 validate OIMコマンド

- 2.4.13 configOVDコマンド

- 2.4.14 ovdConfigUpgradeコマンド

- 2.4.15 disableOVDAccessConfigコマンド

- 2.4.16 upgradeOIMTo11gWebgate

- 2.5 HA環境におけるOUDアイデンティティ・ストアに対するその他のタスク

- 2.5.1 Oracle Unified Directory向けのグローバルACIの作成

- 2.5.2 Oracle Unified Directoryのレプリカに対する索引の作成

第II部 中心的な統合

3 Oracle Identity ManagerにおけるLDAP同期の有効化

- 3.1 インストール後のLDAP同期の有効化

- 3.2 様々なカスタム・オブジェクト・クラスを使用したOracle Identity Managerを介したユーザー作成のカスタマイズ

- 3.3 Identity Virtualization Library (libOVD)アダプタの作成およびOracle Identity Managerとの統合

- 3.4 Identity Virtualization Library (libOVD)とディレクトリ・サーバーの間でのSSLの有効化

- 3.4.1 Identity Virtualization Library (libOVD)とMicrosoft Active Directoryの間でのSSLの有効化

- 3.4.2 Identity Virtualization Library (libOVD)とiPlanetの間でのSSLの有効化

- 3.4.3 Identity Virtualization Library (libOVD)とOIDの間でのSSLの有効化

- 3.5 LDAP同期を有効化する前に作成したユーザーおよびロールのLDAPへのプロビジョニング

- 3.6 LDAP同期の無効化

- 3.7 OVDアダプタの作成

- 3.8 Identity Virtualization Library (libOVD)アダプタの管理

- 3.9 Identity Virtualization Library (libOVD)に対するアクセス・ログの有効化

- 3.10 LDAP同期が有効な場合のLDAP認証の構成

4 Oracle Identity Managerと統合するためのOracle Virtual Directoryの構成

- 4.1 Oracle Internet DirectoryおよびActive Directoryに対するOracle Virtual Directoryアダプタの作成

- 4.2 UserManagementプラグインの使用方法

- 4.2.1 構成パラメータ

- 4.3 Changelogプラグインの使用方法

- 4.3.1 リリース11.1.1.4.0 Changelogプラグインのデプロイ

- 4.3.2 前のリリースからのChangelogプラグインのデプロイ

- 4.3.3 構成パラメータ

- 4.4 トラブルシューティングのヒント

5 Oracle Internet DirectoryとAccess Managerの統合

- 5.1 概要

- 5.2 前提条件

- 5.3 Access ManagerへのOracle Internet Directoryの登録

- 5.3.1 LDAPストアの登録ページについて

- 5.3.2 Access Managerへのユーザー・アイデンティティ・ストアの登録

- 5.3.3 システム・ストア、管理者またはデフォルト・ストアの指定

- 5.4 WebLogic Serverでの認証プロバイダのセットアップ

- 5.5 Access Managerとユーザー・アイデンティティ・ストアとの間の認証の構成

- 5.5.1 Access Manager認証モジュール、プラグインおよびスキームについて

- 5.5.2 Access Managerでのユーザー・アイデンティティ・ストアに対する認証の定義

- 5.5.3 LDAPストアに依存するAccess Managerポリシーの管理

- 5.6 認証とアクセスの検証

6 Oracle Access Management Access Managerと統合するためのOracle Virtual Directoryの構成

- 6.1 Oracle Virtual Directoryのアダプタの作成および構成

- 6.1.1 LDAPアダプタの作成および構成

- 6.1.1.1 LDAPアダプタの作成

- 6.1.1.2 LDAPアダプタの構成

- 6.1.2 データベース・アダプタの作成および構成

- 6.1.2.1 データベース・アダプタの作成

- 6.1.2.2 データベース・アダプタの構成

- 6.1.3 カスタム・アダプタの作成および構成

- 6.1.3.1 カスタム・アダプタの作成

- 6.1.3.2 カスタム・アダプタの構成

- 6.2 OAMPolicyControlプラグインの使用方法

- 6.2.1 構成パラメータ

7 Access ManagerとOracle Identity Managerの統合

- 7.1 統合について

- 7.2 統合ロードマップ

- 7.3 統合の要件

- 7.4 アイデンティティ・ストアの構成

- 7.4.1 Access Manager用のディレクトリ・スキーマの拡張

- 7.4.2 Access Manager用のユーザーおよびグループの作成

- 7.4.3 Oracle Identity Manager用のユーザーとグループの作成

- 7.4.4 Oracle WebLogic Server用のユーザーとグループの作成

- 7.5 統合のためのAccess Managerの構成

- 7.6 Access ManagerとOracle Identity Managerの統合

- 7.7 OIM上のリソースをフロントエンドするためのOracle HTTP Serverの構成

- 7.8 ドメイン・エージェントが削除された状態でのサーバーの起動

- 7.9 その他の構成タスク

- 7.9.1 ドメイン・エージェントから10g WebゲートおよびOHS 11gへの移行

- 7.9.1.1 Access ManagerとOracle Identity Managerを統合するための単一キーストアの作成

- 7.9.2 すぐに使用できるSOAサーバー・コンポジットの更新

- 7.10 統合の検証

- 7.10.1 OIM SSOConfigの検証

- 7.10.2 セキュリティ・プロバイダ構成の検証

- 7.10.3 OIMドメイン資格証明ストアの検証

- 7.10.4 SSOのイベント・ハンドラの検証

- 7.10.5 SSOログアウト構成の検証

- 7.11 統合のテスト

- 7.12 一般的な問題のトラブルシューティング

- 7.12.1 シングル・サインオンの問題

- 7.12.1.1 HTTPヘッダーのチェック

- 7.12.1.2 ユーザーが誤ったログイン・ページにリダイレクトされる

- 7.12.1.3 ログイン失敗

- 7.12.1.4 Oracle Access Managementコンソールのログイン・ページが表示されない

- 7.12.1.5 認証されたユーザーがOracle Identity Managerログイン・ページにリダイレクトされる

- 7.12.1.6 ユーザーがOracle Identity Managerログイン・ページにリダイレクトされる

- 7.12.1.7 新しいユーザーがパスワード変更のためにリダイレクトされない

- 7.12.1.8 ユーザーがリダイレクトのループに入る

- 7.12.2 自動ログインの問題

- 7.12.2.1 TAPプロトコルの問題

- 7.12.2.2 NAPプロトコルの問題

- 7.12.3 セッションの終了の問題

- 7.12.4 アカウントのセルフロックの問題

- 7.12.5 その他の問題

- 7.12.5.1 Oracle Identity Managerへのクライアントベース・ログインに失敗する

- 7.12.5.2 ログアウトで404エラーがスローされる

8 Oracle Adaptive Access ManagerとAccess Managerの統合

- 8.1 Access ManagerとOracle Adaptive Access Managerの統合について

- 8.2 定義、頭文字および略語

- 8.3 OAAMとAccess Managerとの基本統合

- 8.3.1 OAAMとAccess Managerとの基本統合の前提条件

- 8.3.2 WebLogic Serverの起動

- 8.3.3 OAAMとAccess Managerとの基本統合の構成

- 8.4 OAAMとAccess Managerとの拡張統合

- 8.4.1 OAAMとAccess Managerとの拡張統合のロードマップ

- 8.4.2 OAAMとAccess Managerとの拡張統合の前提条件

- 8.4.3 サーバーの再起動

- 8.4.4 OAAM管理ユーザーおよびOAAMグループの作成

- 8.4.5 Oracle Adaptive Access Managerスナップショットのインポート

- 8.4.6 Access Managerの初期構成の検証

- 8.4.7 Oracle Adaptive Access Managerの初期構成の検証

- 8.4.8 Oracle Access Managementコンソールを使用したWebゲートのAccess Manager 11gへの登録

- 8.4.8.1 Webゲート登録の前提条件

- 8.4.8.2 WebGateを使用したOracle HTTP Serverの構成

- 8.4.8.3 Oracle Access Managementコンソールを使用したパートナとしてのWebゲートのAccess Manager 11gへの登録

- 8.4.8.4 Oracle HTTP Server WebGateの再起動

- 8.4.8.5 Webゲートの設定の検証

- 8.4.9 OAAM Serverのパートナ・アプリケーションとしてのAccess Managerへの登録

- 8.4.10 IAMSuiteAgentプロファイルへのパスワードの追加

- 8.4.11 別のコンソールのドメイン・エージェントを使用した場合のドメイン・エージェント定義の更新

- 8.4.12 TAPパートナ登録の検証

- 8.4.12.1 チャレンジURLの検証

- 8.4.12.2 MatchLDAPAttributeチャレンジ・パラメータのTAPSchemeへの追加

- 8.4.12.3 IAMSuiteAgentの設定の検証

- 8.4.13 OAAMでのAccess Manager TAP統合プロパティの設定

- 8.4.14 TAPSchemeを使用してIAMSuiteAgentアプリケーション・ドメイン内のIdentity Management製品リソースを保護するための統合の構成

- 8.4.15 TAPSchemeにより保護されるリソースの構成

- 8.4.15.1 アプリケーション・ドメインでの新しいリソースの作成

- 8.4.15.2 TAPSchemeを使用してリソースを保護する新しい認証ポリシーの作成

- 8.4.16 Access ManagerとOracle Adaptive Access Managerの統合の検証

- 8.5 Access ManagerとOAAMとの統合のその他のタスク

- 8.5.1 TAPScheme認証スキームの認証レベルの変更

- 8.5.2 Access Managerが簡易モードの場合のOracle Adaptive Access ManagerとAccess Managerとの統合の設定

- 8.5.2.1 Access Managerの簡易モード通信の構成

- 8.5.2.2 簡易モードのAccess ManagerのOAAMプロパティの設定

- 8.5.3 Access ManagerとOAAMとのTAP統合におけるアイデンティティ・コンテキスト・クレームの構成

- 8.5.4 Oracle Adaptive Access ManagerによるHTTPポストベース・フロント・チャネル経由のAccess Managerへのデータ転送の有効化

- 8.5.5 OAAM管理コンソールの保護の無効化

- 8.5.6 ステップアップ認証の無効化

- 8.5.7 Oracle Adaptive Access Managerのパスワード長制限の変更

- 8.5.8 OAAM拡張共有ライブラリの使用によるカスタマイズの追加

- 8.5.9 シングル・ログイン・ページ・フローの有効化

- 8.6 リソース保護シナリオ

- 8.6.1 リソース保護シナリオ: TAPSchemeの認証レベルの変更

- 8.6.2 リソース保護シナリオ: 保護された上位レベル・ポリシーからのOAAM管理コンソールの削除

- 8.6.3 リソース保護シナリオ: TAPSchemeを使用してリソースを保護する新しいポリシーの作成

- 8.6.4 リソース保護シナリオ: 新規OAAMユーザーの作成

- 8.6.5 リソース保護シナリオ: ログイン・フロー

- 8.6.6 リソース保護シナリオ: ステップアップ認証フロー

- 8.7 一般的な問題のトラブルシューティング

- 8.7.1 OAAMとAccess Managerとの基本統合

- 8.7.1.1 Internet Explorer 7およびOAAMとAccess Managerとの基本統合

- 8.7.1.2 コンソールでのAccess ManagerとOracle Adaptive Access Managerの統合および変更

- 8.7.1.3 OTPチャレンジがOAAMとAccess Managerとの基本統合でサポートされない

- 8.7.1.4 OAAMとAccess Managerとの基本統合におけるconfigureOAAMのWLSTコマンドを使用したデータソースの作成

- 8.7.2 ログインの失敗

- 8.7.2.1 非ASCII資格証明

- 8.7.2.2 大文字/小文字混合のログイン

- 8.7.2.3 Cookieドメインの定義

- 8.7.2.4 OAAMのテスト・ログインURL/Access ManagerとOracle Adaptive Access Managerの統合後のoaam_serverでの障害

- 8.7.3 アイデンティティ・ストア

- 8.7.3.1 ユーザー名属性の誤った設定

- 8.7.3.2 Access ManagerとOracle Adaptive Access Managerの統合でTAPによりユーザー属性を変更できない

- 8.7.3.3 データベースとLDAPとの間の同期が行われない

- 8.7.4 その他

- 8.7.4.1 ネットワーク遅延による統合の失敗

- 8.7.4.2 TAPトークン・バージョンの2.1への変更

- 8.7.4.3 Access Manager 11.1.1.4.0とOAAM 11.1.1.5.0との統合でOAAMAdvancedスキームによって保護されたリソースにアクセスできない

- 8.7.4.4 OAAMAdvancedスキームを使用している場合に設定する追加プロパティ

- 8.7.4.5 LDAPで保護されたリソースへのテストとしてのアクセス

9 Access Manager、OAAMおよびOIMの統合

- 9.1 Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合について

- 9.1.1 厳密認証のデプロイメント・オプション

- 9.1.2 パスワード管理のデプロイメント・オプション

- 9.2 定義、頭文字および略語

- 9.3 統合ロードマップ

- 9.4 統合の要件

- 9.5 Access ManagerとOracle Identity Managerの統合

- 9.6 Oracle Identity Managerに対するLDAP同期の有効化

- 9.7 Access ManagerとOracle Adaptive Access Managerの統合

- 9.8 Oracle Identity ManagerとOracle Adaptive Access Managerの統合

- 9.8.1 Oracle Adaptive Access Manager用のOracle Identity Managerプロパティの設定

- 9.8.2 Oracle Identity ManagerとOAAMの統合を有効化するためのOAAMプロパティの更新

- 9.8.3 資格証明ストア・フレームワークでのOracle Identity Manager資格証明の構成

- 9.8.4 Oracle Identity ManagerとOracle Adaptive Access Manager間のクロス・ドメインの信頼の構成

- 9.9 その他の構成タスクの実行

- 9.10 一般的な問題のトラブルシューティング

- 9.10.1 ユーザーが機能しないURLに遭遇する

- 9.10.2 正しくないパスワードの入力後に、ユーザーがリダイレクトのループに入る

- 9.10.3 認証の成功時に2つのユーザー・セッションが作成される

- 9.10.4 パスワードを忘れた場合のフローが、シングル・ログイン・ページのデプロイメントで使用できない

- 9.10.5 Access ManagerとOAAMの統合後、OAAMのテスト・ログインURLが失敗する

第III部 外部SSOソリューション

10 Identity Federationとの統合

- 10.1 背景および統合の概要

- 10.1.1 Oracle Access Management Identity Federationについて

- 10.1.2 Identity Federationのデプロイメント・オプション

- 10.1.3 参照

- 10.2 Access Manager 11gR2との統合

- 10.2.1 アーキテクチャ

- 10.2.2 統合タスクの概要

- 10.2.3 前提条件

- 10.2.4 追加の設定

- 10.2.5 Access ManagerへのOracle HTTP Serverの登録

- 10.2.6 Oracle Identity Federationの構成

- 10.2.6.1 ユーザー・データ・ストアの検証

- 10.2.6.2 Oracle Identity Federation認証エンジンの構成

- 10.2.6.3 Oracle Identity Federation SP統合モジュールの構成

- 10.2.7 Access Managerの構成

- 10.2.7.1 OIFSchemeの構成

- 10.2.7.2 信頼できるAccess ManagerパートナとしてのOracle Identity Federationの登録

- 10.2.8 OIFSchemeによるリソースの保護

- 10.2.9 構成のテスト

- 10.2.9.1 SPモード構成のテスト

- 10.2.9.2 認証モード構成のテスト

第IV部 監視

11 Oracle Identity Navigatorとの統合

- 11.1 シングル・サインオンの有効化

- 11.1.1 エージェント用の新しいリソースの構成

- 11.1.2 Access Managerドメイン用のOracle HTTP Serverの構成

- 11.1.3 新しいアイデンティティ・プロバイダの追加

- 11.1.4 複数のアプリケーションに対するアクセスの構成

第V部 アイデンティティ・ストアの追加構成

12 複数ディレクトリのアイデンティティ・ストアの構成

- 12.1 アイデンティティ・ストアとしての複数ディレクトリの構成の概要

- 12.2 アイデンティティ・ストアとしての複数ディレクトリの構成: 分割プロファイル

- 12.2.1 前提条件

- 12.2.2 リポジトリの説明

- 12.2.3 Oracle Internet Directoryのシャドウ・ディレクトリとしての設定

- 12.2.4 ディレクトリ構造の概要-シャドウ結合

- 12.2.5 分割プロファイルのOracle Virtual Directoryアダプタの構成

- 12.2.6 グローバル統合変更ログ・プラグインの構成

- 12.2.7 Oracle Virtual Directory変更ログの検証

- 12.3 アイデンティティ・ストアとしての複数ディレクトリの構成: 複数ディレクトリに別個のユーザーおよびグループを格納

- 12.3.1 複数ディレクトリに別個のユーザーおよびグループを格納するためのディレクトリ構造の概要

- 12.3.2 複数ディレクトリに別個のユーザーおよびグループを格納するためのOracle Virtual Directoryアダプタの構成

- 12.3.2.1 エンタープライズ・ディレクトリ・アダプタの作成

- 12.3.2.2 アプリケーション・ディレクトリ・アダプタの作成

- 12.3.3 グローバル・プラグインの作成

- 12.4 その他の構成タスク

第VI部 付録

A ODSMを使用した複数ディレクトリ・アイデンティティ・ストアのアダプタの検証

- A.1 ODSMを使用した分割プロファイルのOracle Virtual Directoryアダプタの検証

- A.1.1 Active Directoryサーバー用のユーザー・アダプタの検証

- A.1.2 Shadowjoinerユーザー・アダプタの検証

- A.1.3 JoinViewアダプタの検証

- A.1.4 Oracle Internet Directory用のユーザー/ロール・アダプタの検証

- A.1.5 Active Directoryサーバー用の変更ログ・アダプタの検証

- A.1.6 Oracle Internet Directory用の変更ログ・アダプタの検証

- A.1.7 グローバル統合変更ログ・プラグインの構成

- A.1.8 Oracle Virtual Directory変更ログの検証

- A.2 ODSMを使用した複数ディレクトリに別個のユーザーおよびグループを格納するためのアダプタの検証

- A.2.1 ユーザー/ロール・アダプタA1

- A.2.2 ユーザー/ロール・アダプタA2

- A.2.3 変更ログ・アダプタC1

- A.2.4 Active Directory用の変更ログ・アダプタ

- A.2.5 変更ログ・アダプタC2

- A.2.6 Oracle Virtual Directoryグローバル・プラグインの検証

- A.2.7 グローバル統合変更ログ・プラグインの構成

B idm.confファイル

- B.1 idm.confファイルについて

- B.1.1 デフォルト・アクセス・ゾーン

- B.1.2 外部アクセス・ゾーン

- B.1.3 内部サービス・ゾーン

- B.1.4 管理サービス・ゾーン

- B.2 idm.confファイルの例

索引

図一覧

- 1-1 1つの管理サーバーを含む基本統合トポロジ

- 1-2 2つの管理サーバーを含む基本統合トポロジ

- 1-3 リソース保護および資格証明収集フロー

- 1-4 パスワード管理のためのAccess ManagerとOracle Identity Managerの統合

- 5-1 指定したデフォルト・ストアの完了した登録

- 8-1 Access Managementのユーザー名ページ

- 8-2 TextPadによるパスワード・ページ

- 8-3 プロファイルの登録

- 8-4 セキュリティ・デバイスの選択

- 8-5 チャレンジ質問の登録

- 8-6 OAAM管理コンソールの「ケース」ページ: 保護されたリソースへのアクセス

- 8-7 Access Managementのログイン: 下位リスク・リソースへのログイン

- 8-8 Oracle Access Managementコンソール: 下位保護リソースへのアクセス

- 8-9 ステップアップ認証: 上位保護リソースへのログイン

- 8-10 上位の保護リソース

- 8-11 TAPScheme認証スキーム

- 8-12 TAPトークン・バージョン

- 10-1 Identity Federationの付随したAccess Manager

- 12-1 ディレクトリ構造

- 12-2 DITのクライアント・ビュー

- 12-3 アダプタおよびプラグインの構成

- 12-4 ディレクトリ構造

- 12-5 DITのクライアント・ビュー

- 12-6 構成の概要

表一覧

- 1-1 Oracle Fusion Middlewareの統合の用語

- 1-2 統合手順へのリンク

- 2-1 IdM構成ツールの環境変数

- 2-2 IdM Configtoolプロパティ・ファイルで使用されるプロパティ

- 2-3 preConfigIDStoreのプロパティ

- 2-4 prepareIDStore mode=OAMプロパティ

- 2-5 prepareIDStore mode=OIMプロパティ

- 2-6 prepareIDStore mode=OAAMプロパティ

- 2-7 prepareIDStore mode=WLSプロパティ

- 2-8 prepareIDStore mode=WASプロパティ

- 2-9 prepareIDStore mode=APMプロパティ

- 2-10 prepareIDStore mode=fusionプロパティ

- 2-11 prepareIDStore mode=allプロパティ

- 2-12 ConfigPolicyStoreのプロパティ

- 2-13 configOAMのプロパティ

- 2-14 configOIMのプロパティ

- 2-15 upgradeLDAPUsersForSSOのプロパティ

- 2-16 validate IDStoreのプロパティ

- 2-17 validate policystoreのプロパティ

- 2-18 validate component=OAM11gのプロパティ

- 2-19 validate component=OAM10gのプロパティ

- 2-20 validate component=OIM11gのプロパティ

- 2-21 configOVDプロパティ

- 2-22 ovdConfigUpgradeプロパティ

- 2-23 disableOVDAccessConfigプロパティ

- 3-1 プロパティ・ファイルのパラメータ

- 3-2 Identity Virtualization Library (libOVD)アダプタの構成ファイル

- 5-1 LDAP認証モジュールを使用するフォームおよび基本認証スキーム

- 6-1 krb5.confファイルのプロパティ

- 7-1 Oracle Access ManagerとOracle Identity Managerの統合フロー

- 7-2 統合シナリオに必要なコンポーネント

- 7-3 Access ManagerとOracle Identity Managerの統合の検証

- 8-1 Access ManagerとOracle Adaptive Access Managerとの統合のタイプ

- 8-2 拡張統合に関する用語

- 8-3 統合に必要なコンポーネント

- 8-4 Access ManagerとOracle Adaptive Access Managerとの統合フロー

- 8-5 統合に必要なコンポーネント

- 8-6 TAPパートナの例

- 8-7 OAAM CLIのプロパティ

- 8-8 セキュリティ・モードのプロパティ

- 9-1 統合における各コンポーネントの役割

- 9-2 拡張統合に関する用語

- 9-3 Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合フロー

- 9-4 Access Manager、OAAMおよびOIMの統合に必要なコンポーネント

- 9-5 Access ManagerとOracle Adaptive Access Managerとの統合フロー

- 9-6 Oracle Identity Managerのリダイレクト

- 9-7 Oracle Identity Managerのプロパティ値の構成

- 9-8 Oracle Identity Managerの資格証明

- 10-1 Oracle Access Managerを含むデプロイメント・オプション

- A-1 「パラメータ」表の値

- A-2 「パラメータ」表の値

- B-1 idm.confファイル内のゾーン

はじめに

このガイドでは、Oracle Identity Managementスイート内の特定のコンポーネントを統合し、LDAPリポジトリとの統合、アイデンティティおよびアクセス管理、高度なログインおよびパスワード・セキュリティ、アイデンティティ・フェデレーションなど、アプリケーション環境用の幅広いソリューションを提供する方法について説明します。

対象読者

このドキュメントは、高可用性機能のない単純なトポロジを使用して、Oracle Identity Managementコンポーネントを統合することを検討している管理者を対象としています。

ドキュメントのアクセシビリティについて

オラクル社のアクセシビリティへの取組みの詳細は、Oracle Accessibility ProgramのWebサイトhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=docaccを参照してください。

Oracleサポートへのアクセス

Oracleのお客様は、My Oracle Supportにアクセスして電子サポートを受けることができます。詳細は、http://www.oracle.com/pls/topic/lookup?ctx=acc&id=infoまたはhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs (聴覚障害者向け)を参照してください。

関連ドキュメント

詳細は、ドキュメント・セットに含まれる次のドキュメントを参照してください。

- 『Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド』

- 『Oracle Fusion Middleware Oracle Access Management管理者ガイド』

- 『Oracle Fusion Middleware Oracle Virtual Directory管理者ガイド』

- Oracle Fusion Middlewareサード・パーティ・アプリケーション・サーバー・ガイド

表記規則

このドキュメントでは次の表記規則を使用します。

規則

意味

太字

太字は、操作に関連するGraphical User Interface要素、または本文中で定義されている用語および用語集に記載されている用語を示します。

イタリック体

イタリックは、ユーザーが特定の値を指定するプレースホルダ変数を示します。

固定幅フォント

固定幅フォントは、段落内のコマンド、URL、サンプル内のコード、画面に表示されるテキスト、または入力するテキストを示します。

新機能

ここでは、Oracle Identity Managementスイートの統合の新機能および更新の概要を示します。

11gリリース2 (11.1.2.1.0)の2013年9月のドキュメント改訂における更新

『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』には、ドキュメント改訂における次の更新が含まれています。

- 不具合の修正。

11gリリース2 (11.1.2.1.0)の2013年7月のドキュメント改訂における更新

『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』には、ドキュメント改訂における次の更新が含まれています。

- 不具合の修正。

11gリリース2 (11.1.2.1.0)の2013年5月のドキュメント改訂における更新

『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』には、ドキュメント改訂における次の更新が含まれています。

- idmConfigToolのpreConfigIDStoreオプションの使用が明確化されました。表2-3を参照してください。

- idmConfigToolのIDSTORE_KEYSTORE_PASSWORDパラメータの説明が拡張されました。表2-2を参照してください。

- idm.confサンプル・ファイルに含まれるOIM関連のエントリが修正されました。付録Bを参照してください。

11g リリース2 (11.1.2.1.0)の新機能と変更機能

『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』には、次の更新が含まれています。

- prepareIDStoreコマンドでは、IBM WebSphere環境での構成用にWASモードがサポートされます。第2.4.2.5項を参照してください。

- 新しいコマンド・パラメータが追加されました。表2.2を参照してください。

- 第2章「idmConfigToolコマンドの使用方法」に、特定のコマンドに対する使用上の注意が含まれるようになりました。

11gリリース2 (11.1.2)の2012年11月のドキュメント改訂における更新

『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』には、ドキュメント改訂における次の更新が含まれています。

- idm.conf configurationファイルの説明が追加されました。付録Bを参照してください。

- 「統合の検証」および「一般的な問題のトラブルシューティング」が「Access ManagerとOracle Identity Managerの統合」に追加されました。詳細は、第7.11項および第7.13項を参照してください。

- 「トラブルシューティングのヒント」が「Oracle Identity Managerと統合するためのOracle Virtual Directoryの構成」に追加されました。第4.4項を参照してください。

- Oracle Unified DirectoryのpreConfigIDStoreコマンドをサポートするために必要な追加のパラメータが組み込まれました。第2.4.1項を参照してください。

11gリリース2 (11.1.2)の2012年8月のドキュメント改訂における更新

『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』には、ドキュメント改訂における次の更新が含まれています。

- Oracle Unified DirectoryのためのidmConfigToolのサポート。第2章を参照してください。

- Oracle Access Management Access Manager 11g リリース2 (11.1.2)とOracle Identity Federation 11g リリース1 (11.1.1)との統合。第10.2項を参照してください。

11g リリース2 (11.1.2)の新機能と変更機能

11g リリース2 (11.1.2)には次の新機能が搭載されています。

- IdM構成ツールが次のように更新されました。

- このツールでは、デフォルトで11g Webゲートがサポートされます。

- このツールでは、Oracle Access Management Access ManagerとOracle Identity Managerのクロス・ドメイン構成がサポートされます。

- 新しいコマンドupgradeOIMTo11gWebgateが追加されました。

詳細は、第2章を参照してください。

- 統合手順が改良されました。詳細は、関連するコンポーネントに関する章を参照してください。

11g リリース2 (11.1.2)に関するこのドキュメントにおけるその他の大きな変更

これは、11gリリース2 (11.1.2)の新しいドキュメントです。このドキュメントに記載されているいくつかの統合は、前に11g リリース1 (11.1.1)の『Oracle Access Manager統合ガイド』で説明されています。

第I部

IdM統合トポロジとツール

ここでは、このドキュメントでサポートされる統合トポロジを紹介し、統合中に使用されるツールについて説明します。

この部の内容は次のとおりです。

- 第1章「概要」

- 第2章「idmConfigToolコマンドの使用方法」

1 概要

この章では、Oracle Identity Managementスイートの統合の概念について説明します。

内容は次のとおりです。

- 第1.1項「統合の前提条件」

- 第1.2項「統合トポロジ」

- 第1.3項「Oracle Identity Managementのコンポーネントについて」

- 第1.4項「統合のクイック・リンク」

- 第1.5項「一般的な統合のシナリオ」

- 第1.6項「システム要件と動作保証情報」

- 第1.7項「My Oracle Supportを使用したその他のトラブルシューティング情報」

この章のトピックに進む前に、Oracle Identity Managementの基礎知識について、次のドキュメントを参照してください。

- 『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』

- Oracle Fusion Middleware管理者ガイド

1.1 統合の前提条件

このドキュメントの手順を使用してOracle Identity Managementのコンポーネントを統合する前に、それらのコンポーネントをインストールおよびデプロイする必要があります。

Oracle Identity Managementのコンポーネントのインストールの詳細は、次のものを参照してください。

- 『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・プランニング・ガイド』

- Oracle Fusion Middleware Oracle Identity and Access Managementクイック・インストレーション・ガイド

インストールのロードマップ

『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』の「概要」の章には、インストールのロードマップ、前提条件、インストールおよび構成のワークフローなどIdMのデプロイメント手順の基礎知識が記載されています。

デプロイメント・トポロジ

アイデンティティ管理のトポロジおよびそれらのコンポーネントが動作することになる環境についても理解する必要があります。

このドキュメントでサポートされているトポロジの範囲の詳細は、第1.2項を参照してください。

1.2 統合トポロジ

Oracle Identity Managementは、個別または集合で使用できる多数のアプリケーションから構成されます。Oracle Identity Managementで使用できる2つの基本的なタイプのトポロジは、次のとおりです。

- 基本統合トポロジ
このトポロジでは、各コンポーネントが最大1つのノードで実行されている環境におけるスイート・コンポーネント間の統合がサポートされます。

- エンタープライズ統合トポロジ
このトポロジは、エンタープライズ環境におけるスイート・コンポーネント間の統合を構成するためのものです。各コンポーネントは、1つ以上のノードで実行されることがあります。

このドキュメントで説明するトポロジ

このドキュメントでは、単一ノード統合トポロジについてのみ説明します。各コンポーネントが1つのノードで実行される環境にOracle Identity Managementをデプロイする場合は、このドキュメントで説明する手順を使用してください。この手順は、統合ツールおよび手法を理解するため、特定のアイデンティティ管理コンポーネントを統合することによる効果と利点について理解するためにも使用できます。

1.2.1 基本統合トポロジ

この項では、このドキュメントの基盤となるコンポーネント・トポロジについて説明します。各トポロジを構成する層についても説明します。

関連項目:

この項で使用する頭字語の定義は、表1-1を参照してください。

1.2.1.1 シングル・ドメイン・アーキテクチャ

シングル・ドメイン・アーキテクチャでは、Oracle Access Management Access ManagerサーバーとOracle Identity Managerサーバーは同じOracle WebLogic Server上に構成されます。

図1-1は、基本的なシングル・ドメイン統合トポロジを示しています。

図1-1 1つの管理サーバーを含む基本統合トポロジ

このトポロジでは、すべてのIdMコンポーネントが同じWebLogicドメイン内に構成されてるため、それらは1つのWebLogic管理サーバーによって管理されます。

注意:

この図は、いくつかの代理ポートを示しています。完全なリストは、『Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド』のファイアウォールとポートに関する項を参照してください。

1.2.1.2 ダブル(分割)ドメイン・アーキテクチャ

図1-2は、前の統合トポロジのバリエーションを示しています。ここでは、Access ManagerサーバーとOracle Identity Managerサーバーが別々のWebLogicドメインに構成されています。

図1-2 2つの管理サーバーを含む基本統合トポロジ

このトポロジでは、Access Managerサーバー(AMHOST)とOracle Identity Managerサーバー(OIMHOST)は、別々のWebLogicドメインに構成されているため、それぞれがそれ自体の管理サーバーによって管理されます。

注意:

この図は、いくつかの代理ポートを示しています。完全なリストは、『Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド』のファイアウォールとポートに関する項を参照してください。

1.2.1.3 3層アーキテクチャ

このアーキテクチャは、3つのレイヤーまたはゾーンで構成されているとみなすことができます。

- Web層はHTTPサーバーで構成されており、受信Webトラフィックを処理します。

- アプリケーション層には、Oracle Identity ManagerやOracle Access Managerなど、アイデンティティおよびアクセスを管理するためのアイデンティティ管理アプリケーションが含まれています。

- データ層(ここではディレクトリ・サーバーを含むとみなす)は、LDAPおよびデータベースをホストします。

1.2.1.4 Web層の理解

Web層はDMZパブリック・ゾーンにあります。HTTPサーバーはWeb層にデプロイされます。大部分のIdentity ManagementのコンポーネントはWeb層なしで動作できます。ただし、Access Managerなどの製品を使用して全社レベルのシングル・サインオンをサポートするには、Web層が必要です。

Web層は、単一ノード・トポロジでは次のような構造になります。

- WEBHOSTには、Oracle HTTP Server、Webゲート(Access Managerコンポーネント)およびmod_wl_ohsプラグイン・モジュールがインストールされています。mod_wl_ohsプラグイン・モジュールによって、Oracle HTTP Serverからアプリケーション層で稼働するWebLogic Serverにリクエストをプロキシできます。Webゲート(Oracle HTTP ServerのAccess Managerコンポーネント)はOracle Access Protocol (OAP)を使用して、OAMHOSTで実行されているOracle Access Managerと通信します。WebゲートとAccess Managerは、ユーザー認証などの操作の実行に使用されます。

1.2.1.5 アプリケーション層の理解

アプリケーション層は、Java EEアプリケーションが配置される層です。この層にデプロイされる主要なJava EEコンポーネントとしては、Oracle Identity Manager、Oracle Access Management Identity Federation、Oracle Enterprise Manager Fusion Middleware Controlなどの製品があります。

アプリケーション層にあるアイデンティティ管理アプリケーションは、次に示すようにディレクトリ層と対話的に処理を行います。

- エンタープライズ・アイデンティティ情報についてはディレクトリ層が活用されます。

- アプリケーション・メタデータについてはディレクトリ層(およびデータ層のデータベースの場合もある)が活用されます。

- Fusion Middleware Controlコンソールは、アプリケーション層およびディレクトリ層のコンポーネントに対する管理機能を提供します。

- Oracle WebLogic Serverには、Webサーバーのサポートが組み込まれています。有効にされていると、HTTPリスナーはアプリケーション層にも配置されます。

1.2.1.6 データ層の理解

データ層は、すべてのLDAPサービスが配置されるデプロイメント・レイヤーです。この層には、Oracle Internet Directory (OIDHOST)、Oracle Virtual Directory (OVDHOST)、Oracle Database (IDMDBHOST)などの製品が含まれています。

データ層は、次の2種類の情報を格納します。

- アイデンティティ情報: ユーザーおよびグループに関する情報はアイデンティティ・ストアに格納されます。

- Oracle Platform Security Services (OPSS): セキュリティ・ポリシーおよび構成に関する情報は、ポリシー・ストアに格納されます。

ポリシー・データの格納

ポリシー情報は、データベース内に配置されている集中管理されたポリシー・ストアに格納されます。アイデンティティ情報はOracle Internet Directoryに格納することも、別のディレクトリに格納することもできます。

アイデンティティ・データの格納

アイデンティティの詳細をOracle Internet Directory以外のディレクトリに格納する場合は、Oracle Directory Integration Platformを使用して、他のディレクトリのユーザーとグループをOracle Internet Directoryと同期させることができます。詳細は、『Oracle Fusion Middleware高可用性ガイド』のOracle Directory Integration Platformのコンポーネント・アーキテクチャに関する項を参照してください。

注意:

Oracle Identity ManagerはOracle Virtual DirectoryサーバーまたはlibOVDを使用して、サード・パーティ・ディレクトリにアクセスします。

1.2.2 エンタープライズ統合トポロジ

このドキュメントで説明する単一ノード・トポロジとは異なり、エンタープライズ統合トポロジは、高可用性、フェイルオーバーおよびファイアウォールなどの機能も考慮され、このドキュメントの範囲外です。

『Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド』を参照してください。エンタープライズ統合トポロジの概念と実装手順の説明が記載されています。

1.2.3 アイデンティティ・ストアに対する複数ディレクトリの使用方法

このドキュメントの統合シナリオは、Oracle Internet Directory LDAPサーバーで構成される単純なアイデンティティ・ストア・トポロジに焦点を当てていますが、サイトでMicrosoft Active Directoryなどのサード・パーティ・ディレクトリに一部のユーザー・データが格納されていたり、Oracle Internet Directoryに他のユーザー・データが格納されている場合があります。

このトポロジを考慮するために、Oracle Virtual Directoryを使用して、Oracle Identity Managementの各コンポーネントが解釈できる単一の統合ビューにすべてのアイデンティティ・データを提供できます。

構成の詳細は、第12章を参照してください。

1.2.4 統合の用語

表1-1は、Oracle Fusion Middleware環境のアーキテクチャおよびトポロジの説明に使用される主要な用語および頭字語を示しています。

表1-1 Oracle Fusion Middlewareの統合の用語

用語

定義

IdM構成ツール

アイデンティティ管理コンポーネントのステータスを検証し、特定の統合タスクを実行するためのコマンドライン・ツール。

IdM診断ツール

統合されたアイデンティティ管理コンポーネントの状態を検証するためのコマンドライン・ツール。

Oracle Accessプロトコル(OAP)

認可中のWebゲートとAccess Managerサーバー間の通信のためのセキュアなチャネル。

Oracle Fusion Middlewareホーム

Middlewareホームは、Oracle WebLogic Serverホーム、およびオプションで1つ以上のOracleホームから構成されています。

ミドルウェア・ホームは、ローカル・ファイル・システムに配置できますし、NFSを介してアクセス可能なリモート共有ディスクにも配置できます。

Oracle HTTP Server (OHS)

Oracle WebLogic Serverのリスナーを提供するOracle Fusion MiddlewareのためのWebサーバー・コンポーネント。

WebLogic Serverホーム

WebLogic Serverホームには、WebLogic Serverをホストするために必要なインストール済ファイルが含まれています。WebLogic Serverホーム・ディレクトリは、Middlewareホーム・ディレクトリの下の別のOracleホーム・ディレクトリと同等です。

Oracleホーム

Oracleホームには、特定の製品をホストするために必要なインストール済ファイルが含まれています。たとえば、Oracle Identity ManagementのOracleホームには、Oracle Identity Managementのバイナリ・ファイルおよびライブラリ・ファイルを含むディレクトリが含まれています。

Oracleホームは、ミドルウェア・ホームのディレクトリ構造の内部にあります。各Oracleホームは、複数のOracleインスタンスやOracle WebLogic Serverドメインと関連付けることができます。

Oracleインスタンス

Oracleインスタンスには、1つ以上のシステム・コンポーネント(Oracle Webキャッシュ、Oracle HTTP Server、Oracle Internet Directoryなど)が含まれています。Oracleインスタンス内のシステム・コンポーネントは、同じマシン上に配置する必要があります。Oracleインスタンス・ディレクトリには、構成ファイル、ログ・ファイル、一時ファイルなど、更新可能なファイルが格納されています。

Oracleインスタンスは、Oracle WebLogic Serverドメインのピアです。両方には、Oracleホームの外部にある特定の構成が格納されます。

Oracleインスタンスのディレクトリ構造は、Oracleホームのディレクトリ構造とは異なります。場所はどこでもよく、Middlewareホーム・ディレクトリ内にある必要はありません。

Oracle WebLogic Serverドメイン

WebLogic Serverドメインは、Javaコンポーネントの論理的関係があるグループです。WebLogic Serverドメインには、ドメイン内のすべてのリソースの構成および管理の中心である管理サーバーと呼ばれる特別なWebLogic Serverインスタンスが含まれています。通常、ドメインは、管理対象サーバーという追加のWebLogic Serverインスタンスを含めるように構成します。Webアプリケーション、EJB、Webサービスおよびその他のリソースなどのJavaコンポーネントは管理対象サーバーにデプロイし、管理サーバーは構成と管理を行う目的でのみ使用します。

WebLogic Serverドメインの管理対象サーバーは、クラスタにグループ化できます。

Oracle WebLogic Serverドメインは、Oracleインスタンスのピアです。両方には、Oracleホームの外部にある特定の構成が格納されます。

WebLogic Serverドメインのディレクトリ構造は、WebLogic Serverホームのディレクトリ構造とは別です。場所はどこでもよく、Middlewareホーム・ディレクトリ内にある必要はありません。

システム・コンポーネント

システム・コンポーネントは、WebLogic Serverではない管理可能プロセスです。たとえば、Oracle HTTP Server、Webキャッシュ、Oracle Internet Directoryです。JSEコンポーネントを含めます。

Javaコンポーネント

Javaコンポーネントは、システム・コンポーネントと同等ですが、アプリケーション・サーバー・コンテナによって管理されます。通常、一連のアプリケーションおよびリソースを参照し、通常ドメイン拡張子テンプレートと一対一の関係を持ちます。たとえば、SOAとWebCenter Spacesです。

Oracle Fusion Middlewareファーム

Oracle Enterprise Manager Fusion Middleware Controlは、Webブラウザ・ベースのグラフィカル・ユーザー・インタフェースで、Oracle Fusion Middlewareファームを監視および管理するために使用できます。

Oracle Fusion Middlewareファームは、Fusion Middleware Controlによって管理されるコンポーネントの集合です。Oracle WebLogic Serverドメイン、1つ以上の管理対象サーバー、およびドメインにインストールされ、構成され、稼動しているOracle Fusion Middlewareシステム・コンポーネントで構成されます。

Oracle Identity Managementの略です。

Oracle Fusion Middlewareのアイデンティティおよびアクセス管理コンポーネントのスイート。詳細は第1.3項を参照してください。

WebLogic管理サーバー

管理サーバーは、WebLogicドメイン内のすべてのリソースを構成および管理するための中心ポイントです。

WebLogic管理対象サーバー

管理対象サーバーは、ビジネス・アプリケーション、アプリケーション・コンポーネント、Webサービスおよびそれらに関連するリソースをホストするための追加のWebLogic Serverインスタンスです。1つのドメイン内で複数の管理対象サーバーが稼働できます。ドメイン内の特定の管理対象サーバーは、特にOracle Fusion Middlewareコンポーネントをホストするために作成されます。

1.3 Oracle Identity Managementのコンポーネントについて

この項では、このドキュメントで統合について説明するIdMコンポーネントの簡単な概要と統合の利点について説明します。内容は次のとおりです。

- Oracle Internet Directory

- Oracle Virtual Directory

- Oracle Access Management Access Manager

- Oracle Identity Manager

- Oracle Adaptive Access Manager

- Oracle Access Management Identity Federation

- Oracle Identity Navigator

1.3.1 Oracle Internet Directory

Oracle Internet Directoryは、分散したユーザーおよびネットワーク・リソースに関する情報の高速検索と集中管理を可能にする汎用ディレクトリ・サービスです。これは、Lightweight Directory Access Protocol (LDAP)バージョン3と、Oracle Databaseの高いパフォーマンス、スケーラビリティ、堅牢性および可用性を組み合せたものです。

Oracle Internet Directoryは、アイデンティティ管理コンポーネントおよび他のアプリケーションによって利用されるユーザー・アイデンティティが格納されるアイデンティティ・ストアのリポジトリとして機能できます。

Oracle Internet Directoryとの統合の詳細は、次を参照してください。

- 第3章「Oracle Identity ManagerにおけるLDAP同期の有効化」

- 第5章「Oracle Internet DirectoryとAccess Managerの統合」

1.3.2 Oracle Virtual Directory

Oracle Virtual Directoryは、1つ以上のエンタープライズ・データソースを単一のディレクトリに仮想化して抽象的に表示するLDAPバージョン3対応のサービスです。Oracle Virtual Directoryは、クライアント・アプリケーションからデータの場所、形式およびプロトコルを隠し、多数のディレクトリを1つのローカル・リポジトリであるかのように表示します。

Oracle Virtual Directoryとの統合の詳細は、次を参照してください。

- 第6章「Oracle Access Management Access Managerと統合するためのOracle Virtual Directoryの構成」

1.3.3 Oracle Access Management Access Manager

Oracle Access Management Access Managerは、全面的なWeb周辺のセキュリティ機能を提供します。これにはWebシングル・サインオン、認証および認可、ポリシー管理、監査などが含まれます。Oracle Identity Managementスタックのすべての既存のアクセス・テクノロジは、Access Managerに集約されています。

Access Managerとの統合の詳細は、次を参照してください。

- 第8章「Oracle Adaptive Access ManagerとAccess Managerの統合」

- 第9章「Access Manager、OAAMおよびOIMの統合」

- 第10章「Identity Federationとの統合」

1.3.3.1 IDMDomainエージェントおよびWebゲートに関する注意

デフォルトでは、IDMDomainエージェントはOracle HTTP Serverのデプロイメントで有効化されます。IDMDomainエージェントからWebゲート・エージェントに移行する場合は、次の点に注意してください。

- WebゲートでIDMDomainのpreferredHostを使用している場合、IDMDomain用の保護ポリシー設定をWebゲート用として再使用できます。

- IDMDomainとWebゲートは共存できます。Oracle HTTP ServerのデプロイメントでIDMDomainエージェントによってWebゲート・エージェントが検出された場合、IDMDomainエージェントは休眠状態になります。

関連項目:

『Oracle Fusion Middleware Oracle Access Management管理者ガイド』のIDMドメイン・エージェントの集中ログアウトの構成に関する項。

1.3.4 Oracle Identity Manager

Oracle Identity Managerは、エンタープライズITリソース内のユーザーのアクセス権限を自動的に管理する、強力かつ柔軟なエンタープライズ・アイデンティティ管理システムです。Oracle Identity Managerは、企業のすべてのリソースにわたってユーザー・アクセス権限を管理するために基礎から設計されており、最初のアクセス権限の作成からビジネス要件の変化に対する動的な対応に至るまでアイデンティティ管理ライフサイクル全体を管理します。

Oracle Identity Managerとの統合の詳細は、第9章「Access Manager、OAAMおよびOIMの統合」を参照してください。

1.3.5 Oracle Adaptive Access Manager

Oracle Adaptive Access Managerは、エンタープライズ向けにWebアクセスのリアルタイム不正検出およびオンライン多要素認証セキュリティを提供するOracle Identity Managementのソリューションです。

Oracle Adaptive Access Managerとの統合の詳細は、次を参照してください。

- 第8章「Oracle Adaptive Access ManagerとAccess Managerの統合」

- 第9章「Access Manager、OAAMおよびOIMの統合」

1.3.6 Oracle Access Management Identity Federation

クラウド、WebサービスおよびB2Bトランザクションにおけるフェデレーテッド認証のサポートを向上するために、11g リリース2 (11.1.2)のシングル・アクセス管理サーバーにSAMLベースのフェデレーション・サービスが導入されます。Oracle Access Management Identity Federationは、パートナ間で安全にアイデンティティ情報を交換するための、エンタープライズ・レベルかつキャリア・グレードのサービスです。Identity Federationは、多様なデータ・ストア、ユーザー・ディレクトリ、認証プロバイダおよびアプリケーションと統合することによって既存のIT投資を保護します。

この初期リリースでは、Identity Federationはサービス・プロバイダ・モードのみに制限されています。アイデンティティ・プロバイダ・モードではOracle Identity Federation 11gR1のインストールが必要です。

Access ManagerとのIdentity Federationサービスの使用方法の詳細は、第10章「Identity Federationとの統合」を参照してください。

1.3.7 Oracle Identity Navigator

Oracle Identity Navigatorは、ブラウザ経由でアクセスするWebベースのアプリケーションです。これを使用してAccess Manager、Oracle Adaptive Access Manager、Oracle Identity Manager、Directory Services (ODSM)およびその他のOracle Identity Managementのコンポーネントのコンソールにアクセスできます。

Access Managerとの統合の詳細は、第11章「Oracle Identity Navigatorとの統合」を参照してください。

1.4 統合のクイック・リンク

表1-2は、このドキュメントで説明する統合手順へのリンクを示しています。

表1-2 統合手順へのリンク

統合するコンポーネント

リンク

インストール後のLDAPとOracle Identity Managerとの同期

第3章

Oracle Virtual DirectoryとOracle Identity Manager

第4章

Oracle Virtual DirectoryとAccess Manager

第6章

Oracle Internet DirectoryとAccess Manager

第5章

Access ManagerとOracle Identity Manager

第7章

Access ManagerとOracle Adaptive Access Manager

第8章

Access Manager、Oracle Identity ManagerおよびOracle Adaptive Access Manager

第9章

Access ManagerとIdentity Federation

第10章

Access ManagerとOracle Identity Navigator

第11章

マルチディレクトリ・アイデンティティ・ストア

第12章

1.5 一般的な統合のシナリオ

この項では、Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerを統合するための一般的なシナリオ、リソース保護と収集およびパスワード管理の利点について説明します。

1.5.1 リソース保護および資格証明収集のシナリオ(高度な統合)

この項では、Access ManagerとOAAMの高度な統合内の保護されたリソースにユーザーがアクセスを試みるときのプロセス・フローについて説明します。高度な統合オプションは、OTP Anywhere、チャレンジ・プロセッサ、共有ライブラリ・フレームワークなどの高度な機能を提供しますが、完全なOAAMデプロイメントを必要とします。図1-3は、次のシナリオを示しています。

- ケース1: ユーザーはAccess Managerとステップアップ認証を実行するOracle Adaptive Access Managerによって認証される

- ケース2: ユーザーはAccess Managerによって認証されない

- ケース3: ユーザーはAccess Managerによって認証され、Oracle Adaptive Access Managerはステップアップ認証を実行しない

図1-3 リソース保護および資格証明収集フロー

3つのケースすべてに関連する最初の手順は、次のとおりです。

1. ユーザーは、Oracle Adaptive Access Managerで構成されているTAPschemeを介してAccess Managerによって保護されているリソースにアクセスを試みます。

2. Oracle Access Management Agentにより、(未認証の)リクエストが捕捉され、ユーザーが、暗号化されたTAPトークンとともにOAAMサーバーにリダイレクトされます。

3. OAAMサーバーによって、TAPトークンからユーザーの現在の認証ステータスがチェックされます。TAPトークンには、現在の認証レベルが含まれています。現在の認証レベルの値に応じて、Oracle Adaptive Access Managerは、そのユーザーを認証するかどうかを決定できます。したがって、ユーザーは次のフローの1つを通過することになります。

認証フローの詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』の認証フローに関する項を参照してください。

1.5.1.1 ケース1: ユーザーはAccess Managerとステップアップ認証を実行するOracle Adaptive Access Managerによって認証される

このシナリオでは、ユーザーは、Access Managerを使用して低い認証レベルの別のリソースに最近アクセスしたときにすでに認証されています。ユーザーが、TAPschemeによって保護されているリソースにアクセスしようとしたときに、Oracle Adaptive Access Managerによってユーザー名とパスワードのページが表示されることはありません。ユーザーはすでに認証されているためです。ただし、ユーザーがにすでにOracle Adaptive Access Managerに登録されているかどうかによって、次のフローがOracle Adaptive Access Managerで実行されます。

ユーザーがOracle Adaptive Access Managerに登録済

ユーザーがOracle Adaptive Access Managerに登録済である場合、プロセス・フローは次のようになります。

1. Oracle Adaptive Access Managerによって、ユーザー・デバイスのフィンガープリントが取得されます(デバイス・フィンガープリンティング)。

2. Oracle Adaptive Access Managerによって、認証後ルールが実行されます。それにより、ユーザーのリスク・スコアが決定され、ポリシーに指定されている任意のアクション(たとえば、KBAやOTP)またはアラートが実行されます。

3. ユーザーは、リスク・スコアに応じてチャレンジ・フローに入れられることもあります。

4. チャレンジ・フローが成功し、そのユーザーの適切なプロファイルが登録されている場合、Oracle Adaptive Access Managerによってそのユーザー名を含むTAPトークンが作成され、それがAccess Managerに送り返されます。Access Managerは戻されたトークンをアサートします。トークンをアサートした後、Access ManagerはそのCookieを作成し、通常のシングル・サインオン・フロー(ユーザーを保護されたリソースにリダイレクトする)を続行します。

ユーザーがOracle Adaptive Access Managerに未登録

ユーザーがOracle Adaptive Access Managerに登録されていない場合、プロセス・フローは次のようになります。

1. ユーザーが登録されていない場合は、KBAやOTPなどの登録を行うように求められます。登録が必須であるかオプションであるかが指定されたセキュリティ要件に基づいて、登録が要求されます。

2. Oracle Adaptive Access Managerによって、ユーザー・デバイスのフィンガープリントが取得されます(デバイス・フィンガープリンティング)。

3. Oracle Adaptive Access Managerによって、認証後ルールが実行されます。それにより、ユーザーのリスク・スコアが決定され、ポリシーに指定されている任意のアクション(たとえば、KBAやOTP)またはアラートが実行されます。

4. リスク・スコアが十分に高い場合は、ユーザーはブロックされることがあります。それは、不完全な登録のため、チャレンジ・フローに入れることができないためです。

5. ただし、リスクがない場合、そのユーザーはプロファイル登録に進み、その後、Oracle Adaptive Access Managerによってそのユーザー名を含むTAPトークンが作成され、それがAccess Managerに送り返されます。Access Managerは戻されたトークンをアサートします。トークンをアサートした後、Access ManagerはそのCookieを作成し、通常のシングル・サインオン・フロー(ユーザーを保護されたリソースにリダイレクトする)を続行します。

1.5.1.2 ケース2: ユーザーはAccess Managerによって認証されない

ユーザーが認証されていない場合、プロセス・フローは次のようになります。

1. OAAMサーバーによって、ユーザーにOAAMユーザー名ページが提示されます。

2. ユーザーは、OAAMユーザー名ページで自分のユーザー名を送信します。

3. Oracle Adaptive Access Managerにより、ユーザー・デバイスのフィンガープリントが取得され、ユーザーがOAAMパスワード・ページに進むことを許可するかどうかを決定する認証前ルールが実行されます。

4. ユーザーが次に進むことを許可された場合は、認証パッド・チェックポイント中に仮想認証デバイス・ルールが実行されます。これらのルールにより、どの仮想オーセンティケータをOAAMパスワード・ページに表示するかが決定されます。

5. ユーザーがOracle Adaptive Access Managerに登録されている場合は、OAAMサーバーにより、パーソナライズされたTextPadまたはKeyPadとともにOAAMパスワード・ページが表示されます。

6. ユーザーが登録されていない場合は、Oracle Adaptive Access Managerにより、汎用TextPadとともにOAAMパスワード・ページが表示されます。

7. ユーザーは、OAAMパスワード・ページで自分のパスワードを送信します。

8. Oracle Adaptive Access Managerから収集された資格証明は、Oracle Access Management OAP APIを使用してアイデンティティ・ストアに対して検証されます。Access Manager側での検証の後、Oracle Adaptive Access Managerにより認証後ルールが実行されます。

9. Oracle Adaptive Access Managerにより、ユーザーとの相互作用を通じて、目的のアクションを実行するためにアイデンティティが確立されます。Oracle Adaptive Access Managerにより、ユーザーのリスク・スコアが決定され、ポリシーに指定されている任意のアクション(たとえば、KBAやOTP)またはアラートが実行されます。

10. ユーザーが登録されていない場合は、必要に応じてKBAやOTPなどの登録を行うように求められます。

11. 登録が必須であるかオプションであるかが指定されたセキュリティ要件に基づいて、登録が要求されます。

12. I認証が成功し、ユーザーに登録済の適切なプロファイルがある場合は、Oracle Adaptive Access Managerによりこのユーザー名のTAPトークンが構成され、Access Managerに戻されます。Access Managerは戻されたトークンをアサートします。トークンをアサートした後、Access ManagerはそのCookieを作成し、通常のシングル・サインオン・フロー(ユーザーを保護されたリソースにリダイレクトする)を続行します。

1.5.1.3 ケース3: ユーザーはAccess Managerによって認証され、Oracle Adaptive Access Managerはステップアップ認証を実行しない

ユーザーが、TAPschemeによって保護されているリソースへのアクセスに必要なレベルより高いレベルですでに認証されている場合、フローがOracle Adaptive Access Managerによって中断されることなく、ユーザーは保護されているリソースに直接アクセスできます。

1.5.2 リソース保護および資格証明収集のシナリオ(基本統合)

この項では、Access ManagerとOAAMの基本統合内の保護されたリソースにユーザーがアクセスを試みるときのプロセス・フローについて説明します。このデプロイメントは、別のOAAMサーバーを必要とせずにログイン・セキュリティおよびナレッジ・ベース認証(KBA)を提供します。

1. ユーザーは、Access Managerによって保護されたリソースにアクセスを試みます。

2. Oracle Access Management Webゲートにより、リクエストが捕捉され、ユーザーがOAAMサーバーにリダイレクトされます。

3. Access Managerにより、OAAM APIがコールされ、ユーザーに進むことを許可するかどうかを決定する認証前ルールが実行されます。

4. Access Managerによって、ALLOW、BLOCK、DENYなどのルール結果に基づいた適切なページが表示されます。

5. ユーザーに進むことを許可する場合、Access Managerによってパスワード・ページが表示されます。

6. ユーザーは、パスワード・ページで自分のパスワードを送信します。

7. Access Managerから収集された資格証明がアイデンティティ・ストアに対して検証されます。

8. 検証後、Access ManagerによってOAAM APIが再度コールされ、認証後ルールが実行されます。

9. Access Managerによって、ルール結果(REGISTER USER、REGISTER QUESTIONS、REGISTER USER (オプション)、CHALLENGE、ALLOWまたはBLOCK)に基づいて適切なセットのページが表示されます。
たとえば、結果がREGISTER USERである場合、ユーザー登録プロセスの一部として(最初のログインの場合)、ユーザーは3つのチャレンジ質問を選択して回答するように求められます。

たとえば、結果がCHALLENGEである場合、Access Managerにより、セキュリティ質問が表示されたチャレンジ質問ページが表示されます。

1.5.3 パスワード管理シナリオ

これらのデプロイ・モードによってサポートされている一般的な管理シナリオには、次のものが含まれます。

- Access ManagerをOracle Identity Managerと統合する場合

- 自己登録

- パスワードの変更

- パスワードを忘れた場合

- アカウントのロックとロック解除

- チャレンジの設定

- チャレンジのリセット

1.5.3.1 Access ManagerをOracle Identity Managerと統合する場合

図1-4は、Access ManagerとOracle Identity Managerの統合時にパスワード管理がどのように行われるかを示しています。

図1-4 パスワード管理のためのAccess ManagerとOracle Identity Managerの統合

コンポーネント間の相互作用のフローは次のとおりです。

1. ユーザーは、Access Managerによって保護されたリソースにアクセスを試みます。

2. Oracle Access Management Webゲートにより、(未認証の)リクエストが捕捉されます。

3. WebゲートによりユーザーがAccess Managerログイン・サービスにリダイレクトされ、そこで検証チェックが実行されます。

4. Access Managerによりパスワード期限切れなどのパスワード管理トリガー条件が検出されると、ユーザーがOracle Identity Managerにリダイレクトされます。

5. Oracle Identity Managerにより、ユーザーとの相互作用を通じてユーザーのアイデンティティが確立され、パスワードのリセットなどの適切なアクションが実行されます。

6. Access Managerにより、自動ログインを通じてユーザーのログインが行われ、ユーザーがAccess Managerによって保護されたリソース(ユーザーが手順1でアクセスしようとしていたもの)にリダイレクトされます。

1.5.3.2 自己登録

このシナリオでは、アカウントを持たないユーザーがAccess Managerによって保護されたリソースにアクセスしようとします。Oracle Access Management 11g Webゲートによってリクエストが捕捉され、ユーザーが認証されていないことが検出され、そのユーザーがOracle Access Management Credential Collector (またはWebゲートを認証する10g)にリダイレクトされ、それによって「新規アカウントの登録」リンクを含むAccess Managerログイン・ページが表示されます。

このリンクを選択すると、ユーザーは安全にOracle Identity Managerの自己登録URLにリダイレクトされます。Oracle Identity Managerにより、ユーザーとの相互作用を通じてそのアカウントがプロビジョニングされます。

自己登録フロー

ようこそページは、自己登録/アカウント作成を開始できる、保護されていないページです。このページには、2つのリンクが紹介テキストまたはブランド情報とともに表示されます。これらのリンクは次のとおりです。

- 新規アカウントの登録 - これは、対応するアプリケーションの登録ウィザードへの保護されていないURLです。

- ログイン - これは、ログイン成功後にユーザーが転送されるランディング・ページとして機能する、保護されたURLです。

注意:

自己登録要件があるシングル・サインオン・システムによって保護されたアプリケーションは、自己登録ページをサポートすることが予期されます。オプションは次のとおりです。

- デフォルトの自己登録ページまたはカスタマイズされたバージョンのページを使用した自己登録。
これは最も一般的なオプションであり、ここで説明されています。

- 他のアプリケーションの匿名ページを使用した自己登録。
アプリケーションにより登録プロセスの最後にユーザーを自動的にログインするように指示する場合は、Oracle Platform Security Services APIを使用することによってこれを実装できます。

関連項目:

Oracle Platform Security Servicesの詳細は、『Oracle Fusion Middlewareセキュリティ概要』を参照してください。

アカウント作成フローは次のとおりです。

1. ユーザーは、(ブラウザを使用して)「新規アカウントの登録」リンクを含むアプリケーションのようこそページにアクセスします。

2. ユーザーは、「新規アカウントの登録」リンクをクリックし、アプリケーションによって提供された自己登録ページに転送されます。

3. ユーザーは、アプリケーションと相互作用して自己登録します。

4. 完了すると、アプリケーションによりユーザーの自動ログインが実行されます。

保護されたアプリケーションにより、ユーザーを作成するためにOracle Identity ManagerにSPMLリクエストが送信されることが予期されます。この後、アプリケーションにより次のいずれかの操作が選択されます。

- アプリケーションにより、ユーザーを自動ログインしないことを選択できます。アプリケーションにより、ユーザーを保護されたランディング・ページURLにリダイレクトします。その後、Access Managerによりログイン・ページが表示され、ユーザーがログイン・フローに進みます。

- リクエストに関連付けられた承認がない場合は、アプリケーションにより、Oracle Platform Security Services (OPSS) APIを利用して特定のランディング・ページURLに自動ログインし、そのURL(およびSSO Cookie)を含んだリダイレクト・リクエストで応答します。これにより、ログイン・ページを表示せずにユーザーが直接ランディング・ページに転送されます。

- 承認が必要な場合、自動ログインは実行できません。アプリケーションにより、SPMLリクエストの時点でどのプロファイルを使用するかが決定されます。アプリケーションにより、リクエストが送信されたことを示す適切なページで応答する必要があります。

1.5.3.3 パスワードの変更

パスワードの変更フローにより、ユーザーは各自のパスワードを変更できます。

Access ManagerおよびOracle Identity Managerによるパスワードの変更フロー

この状況では、ユーザーはAccess Managerに正常にログインした後、すぐにパスワードを変更する必要があります。ユーザーは、パスワードを変更してチャレンジを設定するまで、保護されたリソースへのアクセスを許可されません。

ログインが成功すると、Access Managerによりトリガー条件が有効であるかどうかが検出され、ユーザーがOracle Identity Managerの「パスワードの変更」URLにリダイレクトされます。Oracle Identity Managerでは、ユーザー・パスワードの変更またはチャレンジの設定を容易にし、トリガー条件をリセットします。

完了すると、Oracle Identity Managerによりユーザーが保護されたリソースにリダイレクトされます。

この状況は、次の場合にトリガーされます。

- Change Password upon Loginフラグがオンになっています。これは次の場合に発生します。

- 新しいユーザーが作成された場合

- 管理者がユーザーのパスワードをリセットした場合

- パスワードの有効期限が切れました。

このフローでは、ユーザーが初めてAccess Managerによって保護されたアプリケーションにログインし、次に進む前にパスワードの変更を求められる状況について説明します。

パスワードの変更フローは次のとおりです。

1. ユーザーはブラウザを使用して、Access Managerによって保護されたアプリケーションのURLにアクセスしようとします。

2. Oracle Access Management Webゲート(SSOエージェント)により、リクエストが捕捉され、ユーザーがAccess Managerログイン・ページにリダイレクトされます。

3. ユーザーは資格証明を送信し、これがAccess Managerにより検証されます。

4. 続いてAccess Managerにより、初回ログインのトリガー条件のいずれかが有効であるかどうかが判別されます。有効である場合は、Access Managerにより、ユーザーがOracle Identity Managerの「パスワードの変更」URLにリダイレクトされます。

5. Oracle Access Management Webゲート(SSOエージェント)により、リクエストが捕捉され、Oracle Identity Managerが匿名認証ポリシーによって保護されていることが判別され、ユーザー・リクエストの処理が許可されます。

6. Oracle Identity Managerにより、ユーザーとの相互作用を通じてユーザーがパスワードを変更できるようになります。完了すると、Oracle Identity Managerにより「初回ログイン」フローをトリガーした属性が更新されます。続いてOracle Identity Managerにより、ユーザーの自動ログインが実行されます。

7. Oracle Identity Managerにより、Access Managerに初回ログインの成功が通知されます。

8. Oracle Identity Managerにより、手順1でユーザーがアクセスしようとしていたアプリケーションURLにユーザーがリダイレクトされます。

パスワードの変更フロー: Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerを統合する場合

このシナリオでは、ユーザーはOAAMパスワード・ページを表示して「パスワードの変更」リンクをクリックします。

1. ユーザーはブラウザを使用して、Access Managerによって保護されたアプリケーションのURLにアクセスしようとします。

2. Oracle Access Management Webゲートにより、(未認証の)リクエストが捕捉されます。

3. Oracle Access Management Webゲートにより、ユーザーがOAAMサーバーにリダイレクトされ、リダイレクトURLが渡されます。

4. OAAMサーバーによって、ユーザーにOAAMユーザー名ページが提示されます。

5. ユーザーは、OAAMユーザー名ページで自分のユーザー名を送信します。

6. Oracle Adaptive Access Managerにより、ユーザー・デバイス(デスクトップ・コンピュータ、ラップトップ・コンピュータ、PDA、携帯電話、キオスクまたは他のWeb対応デバイス)のフィンガープリントが取得され、ユーザーがOAAMパスワード・ページに進むことを許可するかどうかを決定する認証前ルールが実行されます。

7. ユーザーが次に進むことを許可された場合は、OAAMサーバーにより、仮想認証デバイス・ルールで指定された強力なオーセンティケータとともにOAAMパスワード・ページが表示されます。

8. ユーザーは、OAAMパスワード・ページで自分のパスワードを送信します。

9. 認証中にOracle Adaptive Access Managerにより、Oracle Access Management Java APIがコールされ、資格証明が検証されます。

10. 認証が成功し、登録済の質問があるもののパスワードの再設定をユーザーが希望する場合、ユーザーは「パスワードの変更」リンクをクリックします。

11. ユーザーは、Oracle Adaptive Access Managerの「パスワードの変更」URLにリダイレクトされ、そこでユーザーはパスワードを変更できます。

12. Oracle Adaptive Access Managerにより、現在のパスワードおよび新しいパスワードが収集され、そのオーセンティケータを使用してユーザーからのパスワードが確認されます。

13. Oracle Identity Managerから取得されたパスワード・ポリシー情報が表示され、ユーザーが適切なパスワードを選択するように指示されます。

14. Oracle Adaptive Access Managerにより、Oracle Identity Managerコールが行われ、リポジトリ内のパスワードが更新されます。

15. 更新が成功すると、Oracle Adaptive Access Managerにより、ユーザーがAccess Managerによって保護されたリソースにリダイレクトされます。

1.5.3.4 パスワードを忘れた場合

パスワードを忘れた場合のフローでは、ユーザーはすべてのチャレンジ質問に正しく回答した後で各自のパスワードをリセットできます。

Access ManagerとOracle Identity Managerの統合におけるパスワードを忘れた場合のフロー

このシナリオでは、ユーザーはAccess Managerログイン・ページを表示して「パスワードを忘れた場合」リンクをクリックします。Access Managerにより、ユーザーはOracle Identity Managerの「パスワードを忘れた場合」URLにリダイレクトされ、パスワードの変更に成功したときにOracle Identity Managerによるリダイレクト先となる宛先URLが問合せパラメータ(backURL)として渡されます。

Oracle Identity Managerにより、ユーザーに対してチャレンジ質問が尋ねられます。正しい回答を入力すると、ユーザーは新しいパスワードを指定できます。

完了すると、Oracle Identity Managerによりユーザーが保護されたリソースにリダイレクトされます。

パスワードを忘れた場合のフローは次のとおりです。

1. ユーザーはブラウザを使用して、Access Managerによって保護されたアプリケーションのURLにアクセスしようとします。

2. Oracle Access Management Webゲート(SSOエージェント)により、リクエストが捕捉され、ユーザーがAccess Managerログイン・ページにリダイレクトされます。

3. ユーザーはAccess Managerログイン・ページで「パスワードを忘れた場合」リンクをクリックし、これによりユーザーはOracle Identity Managerの「パスワードを忘れた場合」URLに送信されます。

4. Oracle Identity Managerにより、ユーザーとの相互作用を通じてユーザーがパスワードをリセットできるようになります。完了すると、Oracle Identity Managerによりユーザーの自動ログインが実行されます。

5. Oracle Identity Managerにより、手順1でアクセスしようとしていたアプリケーションURLにユーザーがリダイレクトされます。

Access Manager、Oracle Identity ManagerおよびOracle Adaptive Access Managerの統合におけるパスワードを忘れた場合のフロー

Oracle Adaptive Access ManagerとOracle Identity Managerの統合では、パスワードを忘れた場合の機能はOAAMパスワード・ページ上のリンクとして使用可能になります。このフローが開始されるのは、ユーザーがOAAMパスワード・ページを表示して「パスワードをお忘れですか」リンクをクリックしたときです。

フローは次のとおりです。

1. ユーザーはブラウザを使用して、Access Managerによって保護されたアプリケーションのURLにアクセスしようとします。

2. Oracle Access Management Webゲートにより、(未認証の)リクエストが捕捉されます。

3. Oracle Access Management Webゲートにより、ユーザーがOAAMサーバーにリダイレクトされます。

4. OAAMサーバーによって、ユーザーにOAAMユーザー名ページが提示されます。

5. ユーザーは、OAAMユーザー名ページで自分のユーザー名を送信します。

6. Oracle Adaptive Access Managerにより、ユーザー・デバイス(デスクトップ・コンピュータ、ラップトップ・コンピュータ、PDA、携帯電話、キオスクまたは他のWeb対応デバイス)のフィンガープリントが取得され、ユーザーがOAAMパスワード・ページに進むことを許可するかどうかを決定する認証前ルールが実行されます。

7. ユーザーが次に進むことを許可された場合は、OAAMサーバーにより、仮想認証デバイス・ルールで指定された強力なオーセンティケータとともにOAAMパスワード・ページが表示されます。

8. ユーザーは、OAAMパスワード・ページで「パスワードをお忘れですか」リンクをクリックします。

9. Oracle Adaptive Access Managerにより、ユーザーに対して事前登録されたチャレンジ質問のセットが表示されます。

10. ユーザーは、チャレンジ質問に対する回答を入力します。

11. Oracle Adaptive Access Managerにより、ファジー・ロジックを使用してチャレンジ質問に対する回答が検証されます。

12. ユーザーが正しい回答を入力した場合は、「パスワードのリセット」ページにリダイレクトされます。

13. Oracle Adaptive Access Managerにより、Oracle Identity Managerを呼び出すことによってOracle Identity Managerからパスワード・ポリシー・テキストが取得され、「パスワードのリセット」ページに表示されます。

14. ユーザーは、新しいパスワードを入力します。

15. Oracle Adaptive Access Managerにより、Oracle Identity Managerが呼び出され、リポジトリが新しいパスワードで更新されます。

16. 更新が成功すると、Oracle Adaptive Access Managerにより、ユーザーがAccess Managerによって保護されたリソースにリダイレクトされます。

1.5.3.5 アカウントのロックとロック解除

Access Managerでは、ログイン試行を追跡し、その回数が確立された制限を超えるとアカウントをロックします。

アカウントがロックされると、Access Managerによりヘルプ・デスクの連絡先情報が表示されます。

エンド・ユーザーから連絡を受けると、ヘルプ・デスクはOracle Identity Manager管理コンソールを使用してアカウントをロック解除します。その後Oracle Identity Managerにより、Access Managerに変更が通知されます。

アカウントのロックとロック解除のフロー

ユーザー・ログイン試行の失敗回数がパスワード・ポリシーで指定された値を超えると、ユーザー・アカウントがロックされます。ユーザー・アカウントがロックされた後のログイン試行に対しては、アカウントのロック解除プロセスに関する情報を提供するページを表示しますが、これは各自の組織で従うプロセス(ヘルプ・デスク情報やその他の類似情報)を反映したものにカスタマイズされている必要があります。

アカウントのロックとロック解除のフローは次のとおりです。

1. ユーザーはブラウザを使用して、Access Managerによって保護されたアプリケーションのURLにアクセスを試みます。

2. Oracle Access Management Webゲート(SSOエージェント)により、リクエストが捕捉され、ユーザーがAccess Managerログイン・ページにリダイレクトされます。

3. ユーザーは資格証明を送信し、これがAccess Managerによる検証に失敗します。Access Managerによりログイン・ページがレンダリングされ、ユーザーは資格証明を再送信するように求められます。

4. ユーザーのログイン試行の失敗回数がポリシーで指定された制限を超えます。Access Managerによりユーザー・アカウントがロックされ、ユーザーがAccess ManagerのアカウントのロックアウトURLにリダイレクトされ、そこでヘルプ・デスク連絡先情報が表示されます。

5. ユーザーはヘルプ・デスクに電話で連絡し、管理者にアカウントのロック解除を依頼します。

6. Oracle Identity Managerにより、Access Managerにアカウント・ロック解除イベントが通知されます。

7. ユーザーはアプリケーションURLにアクセスしようとし、このイベントにより通常のOracle Access Managementシングル・サインオン・フローがトリガーされます。

1.5.3.6 チャレンジの設定

チャレンジの設定により、ユーザーはチャレンジ質問および回答を登録できます。

Access ManagerとOracle Identity Managerの統合におけるチャレンジの設定フロー

Access Managerによる検出とリダイレクトは次のパスワード・トリガー条件で行われます。

- 必要な数のチャレンジを増やすためにパスワード・ポリシーが更新されました。

- チャレンジを要求するためにパスワード・ポリシーが更新されました。

このようなリダイレクトが発生した場合、Oracle Identity Managerによりチャレンジ質問が設定されているかどうかがチェックされます。設定されていない場合、ユーザーはパスワードをリセットするとともにチャレンジ質問を設定するように求められます。

フローは次のとおりです。

注意:

このフローは、初回ログインが必要ではないことを前提としています。

1. ユーザーはブラウザを使用して、Access Managerによって保護されたアプリケーションのURLにアクセスしようとします。

2. Oracle Access Management Webゲート(SSOエージェント)により、リクエストが捕捉され、ユーザーがAccess Managerログイン・ページにリダイレクトされます。

3. ユーザーは資格証明を送信し、これがAccess Managerにより検証されます。パスワード・トリガー条件が検出された場合は、Access Managerにより、ユーザーがOracle Identity Managerのパスワードの変更URLにリダイレクトされます。

4. Oracle Access Management Webゲート(SSOエージェント)により、リクエストが捕捉され、Oracle Identity Managerが匿名認証ポリシーによって保護されていることが判別され、ユーザー・リクエストの処理が許可されます。

5. Oracle Identity Managerにより、ユーザーとの相互作用を通じてチャレンジが設定されます。完了すると、Oracle Identity Managerによりチャレンジの設定フローをトリガーした属性が更新されます。

6. Oracle Identity Managerにより、手順1でユーザーがアクセスしようとしていたアプリケーションURLにユーザーがリダイレクトされます。

Access Manager、Oracle Identity ManagerおよびOracle Adaptive Access Managerの統合におけるチャレンジの設定フロー

このシナリオでは、ユーザーは正常に認証されてもチャレンジ質問を登録する必要があります。ユーザーは、チャレンジ質問を登録するまで、保護されたリソースへのアクセスを許可されません。

注意:

Oracle Adaptive Access Managerを既存のOracle Identity Managerデプロイに追加する場合は、Oracle Identity Managerで登録されているすべての既存の質問および回答を放棄する必要があります。かわりに、ユーザーは次のログイン時にOracle Adaptive Access Managerでチャレンジ質問を再度登録するように求められます。

1. ユーザーはブラウザを使用して、Access Managerによって保護されたアプリケーションのURLにアクセスしようとします。

2. Oracle Access Management Webゲートにより、(未認証の)リクエストが捕捉されます。

3. Oracle Access Management Webゲートにより、ユーザーがOAAMサーバーにリダイレクトされ、リダイレクトURLが渡されます。

4. Oracle Adaptive Access Managerによって、ユーザーにOAAMユーザー名ページが提示されます。

5. ユーザーは、OAAMユーザー名ページで自分のユーザー名を送信します。

6. Oracle Adaptive Access Managerにより、ユーザー・デバイス(デスクトップ・コンピュータ、ラップトップ・コンピュータ、PDA、携帯電話、キオスクまたは他のWeb対応デバイス)のフィンガープリントが取得され、ユーザーがOAAMパスワード・ページに進むことを許可するかどうかを決定する認証前ルールが実行されます。

7. ユーザーが次に進むことを許可された場合は、OAAMサーバーにより、仮想認証デバイス・ルールで指定された強力なオーセンティケータとともにOAAMパスワード・ページが表示されます。

8. ユーザーは、OAAMパスワード・ページで自分のパスワードを送信します。

9. 認証中にOracle Adaptive Access Managerにより、Access Managerをコールして資格証明が検証されます。

10. 認証後に、Oracle Adaptive Access Managerによりユーザーがチャレンジ質問を登録したかどうかがチェックされます。

11. ユーザーが質問を登録していない場合は、Oracle Adaptive Access Managerにより、ユーザーとの相互作用を通じてチャレンジが設定されます(チャレンジ質問の選択と回答の登録またはOTPプロファイルの設定、あるいはその両方)。

12. 登録が成功すると、Oracle Adaptive Access Managerにより、ユーザーがAccess Managerによって保護されたリソースにリダイレクトされます。

1.5.3.7 チャレンジのリセット

チャレンジのリセットにより、ユーザーは各自のチャレンジの登録をリセットできます。この機能は、Access ManagerがOracle Adaptive Access Managerと統合されている場合に使用できます。

フローは次のとおりです。

1. ユーザーはブラウザを使用して、Access Managerによって保護されたアプリケーションのURLにアクセスしようとします。

2. Oracle Access Management Webゲートにより、(未認証の)リクエストが捕捉されます。

3. Oracle Access Management Webゲートにより、ユーザーがOAAMサーバーにリダイレクトされ、リダイレクトURLが渡されます。

4. OAAMサーバーによって、ユーザーにOAAMユーザー名ページが提示されます。

5. ユーザーは、OAAMユーザー名ページで自分のユーザー名を送信します。

6. Oracle Adaptive Access Managerにより、ユーザー・デバイス(デスクトップ・コンピュータ、ラップトップ・コンピュータ、PDA、携帯電話、キオスクまたは他のWeb対応デバイス)のフィンガープリントが取得され、ユーザーがOAAMパスワード・ページに進むことを許可するかどうかを決定する認証前ルールが実行されます。

7. ユーザーが次に進むことを許可された場合は、OAAMサーバーにより、仮想認証デバイス・ルールで指定された強力なオーセンティケータとともにOAAMパスワード・ページが表示されます。

8. ユーザーは、OAAMパスワード・ページで自分のパスワードを送信します。

9. 認証中にOracle Adaptive Access Managerにより、Access Managerをコールして資格証明が検証されます。

10. 認証が成功し、ユーザーに登録済の質問があるもののユーザーがチャレンジ質問のリセットを希望する場合、ユーザーは「チャレンジのリセット」リンクをクリックします。

11. ユーザーは、Oracle Adaptive Access Managerにリダイレクトされ、そこでチャレンジ質問をリセットできます。

12. チャレンジ登録をリセットした後、Oracle Adaptive Access Managerによりユーザーはチャレンジを登録するように求められます。

13. ユーザーが登録を完了しなかった場合は、次のログイン時に登録を求められます。

1.6 システム要件と動作保証情報

ハードウェアとソフトウェアの要件、プラットフォーム、データベースおよびその他の情報の詳細は、システム要件と動作要件のドキュメントを参照してください。これらのドキュメントは、Oracle Technology Network (OTN)で入手できます。

システム要件に関するドキュメントには、ハードウェア要件およびソフトウェア要件、ディスク領域とメモリーの最小要件、必要なシステム・ライブラリ、パッケージ、パッチなどの情報が記載されています。

http://www.oracle.com/technetwork/middleware/ias/downloads/fusion-requirements-100147.html

動作要件のドキュメントには、サポートされているインストール・タイプ、プラットフォーム、オペレーティング・システム、データベース、JDK、ディレクトリ・サーバーおよびサードパーティ製品が記載されています。

http://www.oracle.com/technetwork/middleware/ias/downloads/fusion-certification-100350.html

1.7 My Oracle Supportを使用したその他のトラブルシューティング情報

Oracle Fusion Middlewareの問題の解決にMy Oracle Support (以前のMetaLink)を使用できます。My Oracle Supportには、次のような有用なトラブルシューティング・リソースが含まれています。

- ナレッジ・ベース記事

- コミュニティ・フォーラムとディスカッション

- パッチとアップグレード

- 動作保証情報

注意:

My Oracle Supportを使用してサービス・リクエストを記録することもできます。

My Oracle Supportにはhttps://support.oracle.comからアクセスできます。

2 idmConfigToolコマンドの使用方法

IdM構成ツール(idmConfigTool)では、Oracle identity management (IdM)コンポーネントのインストール、構成および統合を支援するいくつかのタスクがサポートされています。この章では、ツールの使用方法について説明します。

注意:

この章には、実際の統合手順は記載されていません。idmConfigToolコマンド構文と関連する詳細について説明しています。統合手順またはタスクの指示に従ってidmConfigToolを実行する場合、この章を参照として使用します。

この章では、次の内容を説明します。

- 第2.1項「このツールについて」

- 第2.2項「環境変数の設定」

- 第2.3項「構文と使用方法」

- 第2.4項「コマンド・オプションとプロパティ」

- 第2.5項「HA環境におけるOUDアイデンティティ・ストアに対するその他のタスク」

2.1 このツールについて

この項の内容は次のとおりです。

- このツールはいつ使用するのか

- このツールによって実行されるタスク

- このツールによってサポートされるコンポーネント

- 場所

- サポートされるWebゲートのタイプ

- シングル・ドメインとクロス・ドメインのシナリオ

2.1.1 このツールはいつ使用するのか

次の場合にidmConfigToolを使用します。

- Oracle Identity ManagerおよびOracle Access Management Access Managerをインストールする前。

- Oracle Identity ManagerおよびOracle Access Management Access Managerをインストールした後。

- IdMコンポーネント(Oracle Internet Directory、Oracle Virtual Directory、Oracle Identity ManagerおよびOracle Access Manager)の構成をダンプするため。

- Oracle Internet Directory、Oracle Virtual Directory、Oracle Identity ManagerおよびOracle Access Managerの構成パラメータを検証するため。

第2.1.2項では、各状況においてこのツールによって実行されるタスクについて説明します。

2.1.2 このツールによって実行されるタスク

idmConfigToolは、次のタスクを効率的に実行するために役立ちます。

- Identity Managementコンポーネント(Oracle Internet Directory (OID)、Oracle Virtual Directory (OVD)、Oracle Access Management Access Manager (OAM-AM)およびOracle Identity Manager (OIM))を表す構成プロパティの検証。

- Access ManagerやOracle Identity Managerなど、他のIdentity ManagementコンポーネントをインストールするためのIdentity Storeコンポーネント(Oracle Internet DirectoryおよびOracle Virtual Directory)の事前構成。

- Access Manager、Oracle Identity Managerコンポーネントの後構成、およびAccess ManagerとOracle Identity Managerの接続。

- Identity Managementコンポーネント(Oracle Internet Directory、Oracle Virtual Directory、Access ManagerおよびOracle Identity Manager)の構成の抽出。

関連項目:

第2.3.1項。

2.1.3 このツールによってサポートされるコンポーネント

idmConfigToolでサポートされているコンポーネント・バージョンは次のとおりです。

- Oracle Internet Directory 11g

- Oracle Virtual Directory 11g

- Oracle Access Management Access Manager 11g

- Oracle Access Manager 10g

- Oracle Identity Manager 11g

- Oracle Unified Directory (OUD) 11g

2.1.4 場所

idmConfigToolは次の場所にあります。

IAM_ORACLE_HOME/idmtools/bin

IAM ORACLE_HOMEは、Oracle Identity ManagerおよびOracle Access Managerがインストールされているディレクトリです。

2.1.5 サポートされるWebゲートのタイプ

idmConfigToolでは、デフォルトでAccess Manager 11g Webゲートがサポートされています。10g Webゲートもサポートされています。

2.1.6 シングル・ドメインとクロス・ドメインのシナリオ

このツールでは、Weblogicドメインに関して次の2つのタイプのシナリオがサポートされています。

- Access ManagerサーバーとOracle Identity Managerサーバーの両方が同じWeblogicドメイン内に構成されているシングル・ドメイン構成

- Access ManagerサーバーとOracle Identity Managerサーバーが別々のWeblogicドメイン内に構成されているデュアルまたはクロス・ドメイン構成

関連項目:

アーキテクチャの詳細は、第1.2項を参照してください。

2.2 環境変数の設定

IdM構成ツールを実行する前に、環境を構成する必要があります。

次の変数を設定します。

表2-1 IdM構成ツールの環境変数

変数

説明

MW_HOME

インストールのMiddlewareホームのフルパスに値を設定します。

JAVA_HOME

この値に次のディレクトリが含まれていることを確認します。

MW_HOME/jdkn

IBM WebSphereで実行する場合は、この変数はIBM JDKを指す必要があります。この値をJDKのフルパスに設定します。次に例を示します。

/WASSH/WebSphere/AppServer/java

重要: IBM WebSphereでは、IBM JDK以外のJDKを使用しないでください。

IDM_HOME

IDM_ORACLE_HOME (Oracle Internet Directoryがインストールされている場所) (オプション)

ORACLE_HOME

Oracleホームのフルパスに設定します。IdMの統合の場合は、IAM_ORACLE_HOMEに設定します。

APPSERVER_TYPE

IBM WebSphereでは必須。wasに設定します。

WAS_HOME

IBM WebSphereでは必須。この値をWebSphere Application Serverのホーム・ディレクトリのフルパスに設定します。次に例を示します。

/WASSH/WebSphere/AppServer

WAS_DMGR_PROFILE_HOME

IBM WebSphereでは必須。デプロイメント・マネージャ・プロファイルのホーム・ディレクトリを指定します。デプロイメント・マネージャにより、その管理対象のアプリケーション・サーバーのセルにアプリケーションがデプロイされます。プロファイルとは、実行時の環境を定義するもので、ランタイム環境でサーバーが処理する、すべての構成可能なファイルを含みます。

絶対パスに設定します。たとえば、次のように設定します。

/WASSH/WebSphere/AppServer/profiles/Dmgr01

2.3 構文と使用方法

この項の内容は次のとおりです。

- コマンド構文

- 要件

- 生成されたファイル

- プロパティ・ファイルの使用方法

- ログ・ファイルのクリーン・アップ

2.3.1 コマンド構文

ツールがLinuxで使用する構文は次のとおりです。

idmConfigTool.sh -command
input_file=filename log_file=logfileName log_level=log_level

ツールがWindowsで使用する構文は次のとおりです。

idmConfigTool.bat -command  input_file=filename log_file=logfileName
log_level=log_level

commandの値は次のとおりです。

コマンド

コンポーネント名

説明

preConfigIDStore

アイデンティティ・ストア

グループを作成し、ACIを様々なコンテナに設定することで、アイデンティティ・ストアおよびポリシー・ストアを構成します。

prepareIDStore mode=
OAM
OIM
WLS
WAS
FUSION
OAAM
APM
all

アイデンティティ・ストア

必要なユーザーを追加し、ユーザーをグループに関連付けることで、アイデンティティ・ストアを構成します。モードによって、特定のコンポーネントに対する構成が可能になります。

このコマンドは、Oracle WebLogic Server (mode=WLS)または、IBM WebSphere (mode=WAS)で実行できます。

configPolicyStore

ポリシー・ストア

読取り/書込みユーザーを作成することでポリシー・ストアを構成し、グループに関連付けます。

configOAM

Oracle Access Manager

Oracle Identity Manager

Oracle Identity Managerと統合できるようにAccess Managerを準備します。

configOIM

Oracle Access Manager

Oracle Identity Manager

Access ManagerとOracle Identity Managerの間の接続を設定します。

configOVD

Oracle Virtual Directory

Oracle Virtual Directoryアダプタを作成します。

disableOVDAccessConfig

Oracle Virtual Directory

Oracle Virtual Directoryサーバーへの匿名アクセスを無効化します。アップグレード後のコマンド。注意: このタスクは、configOVDの実行時に自動的に実行されます。

postProvConfig

アイデンティティ・ストア

アイデンティティ・ストアのプロビジョニング後の構成を実行します。

validate
IDSTORE
POLICYSTORE
OAM11g
OAM10g
OIM

各種

指定したエンティティの一連の入力プロパティを検証します。

ovdConfigUpgrade

Oracle Virtual Directory

分割プロファイルでアップグレード済Oracle Virtual Directoryの構成を更新します。

upgradeLDAPUsersForSSO

Oracle Identity Manager

Access Manager

Oracle Identity Manager-Access Managerの統合に必要な特定のオブジェクト・クラスを追加することによって、Oracle Internet Directory内の既存のユーザーを更新します。

upgradeOIMTo11gWebgate

Oracle Identity Manager

Access Manager

Webゲート11gを使用するために、統合されたOracle Identity Manager-Access Managerからなる既存の構成を、Webゲート10gを使用してアップグレードします。

2.3.2 要件

アイデンティティ・ストアまたはポリシー・ストアを構成するときは、管理権限を持つユーザーとしてこのツールを実行する必要があります。

validateコマンドにはコンポーネント名が必要です。

2.3.3 生成されるファイル

idmConfigToolは、実行時に特定のファイルを作成または更新します。

パラメータ・ファイル

idmConfigToolを実行すると、このツールによってidmDomainConfig.paramファイルが作成されるか、このファイルに情報が追加されます。このファイルは、ツールを実行したディレクトリに生成されます。このツールを実行するたびに必ず同じファイルに情報が追加されるようにするには、常に次のディレクトリでidmConfigToolを実行します。

IAM_ORACLE_HOME/idmtools/bin

ログ・ファイル

ログ・ファイルは、idmConfigToolのlog_file属性を使用して指定できます。

ログ・ファイルを明示的に指定しない場合、automation.logというファイルが、ツールを実行したディレクトリに作成されます。

ログ・ファイルを確認して、エラーや警告を修正します。

2.3.4 プロパティ・ファイルの使用方法

この項では、idmConfigToolファイルとともに使用できるプロパティ・ファイルについて説明します。

2.3.4.1 プロパティ・ファイルについて

プロパティ・ファイルは、コマンド・プロパティを指定するための便利な方法であり、これによって参照したり、後で使用するためにプロパティを保存できます。実行プロパティが含まれているプロパティ・ファイルを、入力コマンド・オプションとして指定できます。プロパティ・ファイルは、単純なテキスト・ファイルであり、コマンドを実行するときには使用可能にしておく必要があります。

セキュリティ上の理由からプロパティ・ファイルにはパスワードを挿入しないことをお薦めします。実行時に関連するプロパティの入力を要求されます。

2.3.4.2 プロパティのリスト

表2-2は、idmConfigToolコマンドの統合コマンド・オプションに使用されるプロパティを示しています。プロパティは、アルファベット順に示されています。

表2-2 IdM Configtoolプロパティ・ファイルで使用されるプロパティ

パラメータ

値の例

説明

ACCESS_GATE_ID

IdentityManagerAccessGate

Oracle Identity Managerが通信する必要があるAccess Managerアクセス・ゲートID。

ACCESS_SERVER_HOST

mynode.us.example.com

Access Managerアクセス・サーバーのホスト名

ACCESS_SERVER_PORT

5575

Access Manager NAPポート。

AUTOLOGINURI

/obrar.cgi

OPSSによって必要とされるURI。デフォルト値は/obrar.cgi

COOKIE_DOMAIN

.us.example.com

Oracle Identity Managerアプリケーションが常駐するWebドメイン。.cc.example.comの形式でドメインを指定します。

COOKIE_EXPIRY_INTERVAL

-1

Cookieの有効期限。-1に設定します。

DOMAIN_LOCATION

ORACLE_BASE
/admin/IDMDomain/aserver/IDMDomain

Oracle Identity Managerドメインの場所。

DOMAIN_NAME

IDM_Domain

Oracle Identity Managerドメイン名。

IDSTORE_ADMIN_PORT

4321

Oracle Unified Directory (OUD)アイデンティティ・ストアの管理ポート。

IDSTORE_HOST

idstore.example.com

LDAPアイデンティティ・ストア・ディレクトリのホスト名(IDSTORE_DIRECTORYTYPEに対応)。

IDSTORE_PORT

4321

LDAPアイデンティティ・ストアのポート番号(IDSTORE_DIRECTORYTYPEに対応)。

IDSTORE_BINDDN

cn=orcladmin

アイデンティティ・ストアの管理ユーザー。

IDSTORE_USERNAMEATTRIBUTE

cn

アイデンティティ・ストア内のユーザーを設定および検索するために使用するユーザー名属性。

IDSTORE_LOGINATTRIBUTE

uid

ユーザーのログイン名が含まれているアイデンティティ・ストアのログイン属性。

IDSTORE_USERSEARCHBASE

cn=Users,dc=us,dc=example,dc=com

ユーザーが保存されるディレクトリの場所。

IDSTORE_SEARCHBASE

dc=us,dc=example,dc=com

アイデンティティ・ストアに含まれているユーザーおよびグループの検索ベース。

IDSTORE_GROUPSEARCHBASE

cn=Groups,dc=us,dc=example,dc=com

グループが保存されているディレクトリの場所

IDSTORE_OAMSOFTWAREUSER

oamLDAP

Access Managerアイデンティティ・ストア接続の確立に使用されるユーザー名。

IDSTORE_OAMADMINUSER

oamadmin

Access Managerのアイデンティティ・ストア管理者。アイデンティティ・ストアがシステム・アイデンティティ・ストアとして設定されている場合にのみ必要です。

IDSTORE_OAAMADMINUSER

oaamadmin

Oracle Adaptive Access Managerのアイデンティティ・ストア管理者。

IDSTORE_SYSTEMIDBASE

cn=system, dc=test

すべてのシステム・ユーザーのベース。

IDSTORE_READONLYUSER

アイデンティティ・ストアに対する読取り専用権限を持つユーザー。

IDSTORE_READWRITEUSER

アイデンティティ・ストアに対する読取り/書込み権限を持つユーザー。

IDSTORE_SUPERUSER

アイデンティティ・ストア内のOracle Fusion Applicationsスーパーユーザー。

IDSTORE_XELSYSADMINUSER

xelsysadmシステム・アカウントの管理者。

IDSTORE_OIMADMINUSER

Oracle Identity Managerのアイデンティティ・ストア管理者。

IDSTORE_OIMADMINGROUP

Oracle Identity Manager管理者グループ。

IDSTORE_SSL_ENABLED

アイデンティティ・ストアへのSSLが有効化されているかどうか。

有効な値: true | false

IDSTORE_KEYSTORE_FILE

アイデンティティ・ストア資格証明が含まれているキーストア・ファイルの場所。

Oracle Unified Directoryアイデンティティ・ストアに適用され、かつこれを必須とします。

IDSTORE_NEW_SETUP

アイデンティティ・ストアの検証に使用されます。

Oracle Fusion Applications環境で使用されます。

IDSTORE_DIRECTORYTYPE

OVD

オーセンティケータを作成する必要のあるアイデンティティ・ストアのディレクトリ・タイプ。

Oracle Virtual Directoryサーバーを使用してOracle Internet Directoryまたは非OIDディレクトリに接続している場合、OVDに設定します。

Oracle Internet Directory内にアイデンティティ・ストアがあり、Oracle Virtual Directoryを介さず直接これにアクセスしている場合は、OIDに設定します。

ディレクトリ・ストアがOracle Unified Directoryである場合は、OUDに設定します。

有効な値: OID、OVD、OUD

IDSTORE_ADMIN_USER

cn=systemids,dc=example,dc=com

アイデンティティ・ストア・ディレクトリの管理者。IDSTORE_OAMSOFTWAREUSERに対して指定された同じユーザーの完全なLDAP DNを指定します。ユーザー名のみでは不十分です。

IDSTORE_WLSADMINUSER

weblogic_idm

Oracle WebLogic Serverのアイデンティティ・ストア管理者。

IDSTORE_WLSADMINGROUP

WLS Administrators

Oracle WebLogic Serverのアイデンティティ・ストア管理者グループ。

IDSTORE_PWD_WEBLOGICADMINUSER

アイデンティティ・ストアのWebLogic管理者のパスワード。

IDSTORE_WASADMINUSER

wasadminユーザー(IBM WebSphere)。

LDAPn_HOST

.

LDAPサーバーのホスト名

LDAPn_PORT

LDAPサーバーのポート番号。

LDAPn_BINDDN

.

LDAPサーバーのバインドDN

LDAPn_SSL

LDAPサーバーへの接続でSSLを使用するかどうかを示します。

有効な値はTrueまたはFalseです

LDAPn_BASE

LDAPサーバーのベースDN。

LDAPn_OVD_BASE

LDAPサーバーのOVDベースDN。

LDAPn_TYPE

LDAPサーバーのディレクトリ・タイプ。nは1、2などです。単一ノード構成の場合は、LDAP1を指定します。

LOGINURI

/${app.context}/adfAuthentication

OPSSによって必要とされるURI。デフォルト値は/${app.context}/adfAuthentication

LOGOUTURI

/oamsso/logout.html

OPSSによって必要とされるURI。デフォルト値は/oamsso/logout.html

MDS_DB_URL

jdbc:oracle:thin:@DBHOST:1521:SID

MDSデータベースのURL。

MDS_DB_SCHEMA_USERNAME

edg_mds

MDSスキーマ・ユーザーのユーザー名。

OAM_SERVER_VERSION

10g

Oracle Identity Manager-Access Manager統合において、Access Managerサーバーで11g Webゲートがサポートされていない場合は必須です。そのような場合は、値として10gを指定します。

有効な値は10g、11gです。

OAM_TRANSFER_MODE

SIMPLE

構成中のAccess Managerエージェントの転送モード。アクセス・マネージャ・サーバーが簡易モードを使用してリクエストを受け入れるように構成されている場合は、OAM_TRANSFER_MODEをSIMPLEに設定します。

有効な値はOPEN、SIMPLEまたはCERTです。

OAM11G_OAM_SERVER_TRANSFER_MODE

OPEN

Access Manager 11gサーバーが機能するセキュリティ・モデル。

有効な値はOPENまたはSIMPLEです。

OAM11G_SSO_ONLY_FLAG

Access Managerサーバーが認可を実行できるかどうかを指定します。trueの場合は、Access Manager 11gサーバーは認証専用モードで動作します。この場合、デフォルトではすべての認可でポリシー検証が実行されずにtrueが戻されます。falseの場合は、サーバーはデフォルトのモードで実行されます。このモードでは、それぞれの認証の後でサーバーに対する認可リクエストが1つ以上発生します。

有効な値: true (認可なし) | false

OAM11G_IDSTORE_ROLE_SECURITY_ADMIN

OAMAdministrators

アイデンティティ・ストア内のロール・セキュリティを管理するためのアカウントを指定します。

OAM11G_OIM_INTEGRATION_REQ

false

Oracle Identity Managerと統合するのか、スタンドアロン・モードでAccess Managerを構成するのかを指定します。統合する場合はtrueに設定します。

有効な値: true(統合) | false

OAM11G_SERVER_LBR_HOST

sso.example.com

Access ManagerサーバーのフロントエンドであるOracle HTTP (OHS)サーバーに対するロード・バランサのホスト名。

OAM11G_SERVER_LBR_PORT

443

Access ManagerサーバーのフロントエンドであるOHSサーバーに対するロード・バランサのポート番号。

OAM11G_SERVER_LBR_PROTOCOL

https

Access ManagerサーバーのフロントエンドであるOHSサーバーに対するロード・バランサのプロトコル。

有効な値: HTTP、HTTPS

OAM11G_SERVER_LOGIN_ATTRIBUTE

uid

ログインが試みられたときに、アイデンティティ・ストアのこの属性に対してユーザー名が検証されます。

OAM11G_SERVER_GLOBAL_SESSION_TIMEOUT

Access Managerサーバーにおけるセッションのグローバル・セッション・タイムアウト。

OAM11G_SERVER_GLOBAL_SESSION_EXPIRY_TIME

Access Managerサーバーにおけるセッションのグローバル・セッション有効期間。

OAM11G_SERVER_GLOBAL_MAX_SESSION_PER_USER

Access Managerサーバーにおける1ユーザー当たりのグローバル最大セッション数。

OAM11G_IDSTORE_NAME

アイデンティティ・ストア名。このツールでアイデンティティ・ストアを新規に作成せず、すでに運用中のアイデンティティ・ストアを再利用する場合は、このパラメータの値をそのアイデンティティ・ストアの名前に設定します。

デフォルト値は、OAMIDStoreです。

OAM11G_IMPERSONATION_FLAG

Access Managerサーバーにおける偽装を有効化または無効化します。Oracle Fusion Applications環境に適用可能です。

有効な値: true(有効化) | false

OAM11G_IDM_DOMAIN_OHS_HOST

sso.example.com

OHSの前に配置されているロード・バランサのホスト名。

OAM11G_IDM_DOMAIN_OHS_PORT

443

OAM11G_IDM_DOMAIN_OHS_HOSTとして指定されているロード・バランサがリスニングするポート番号。

OAM11G_IDM_DOMAIN_OHS_PROTOCOL

https

IDM OHSのプロトコル。

有効な値: HTTP | HTTPS

OAM11G_OIM_OHS_URL

https://sso.example.com:443/test

OAM11G_WG_DENY_ON_NOT_PROTECTED

true

10g Webゲートの保護されたフラグでの拒否。

有効な値: true | false

OAM11G_OAM_SERVER_TRANSFER_MODE

simple

IDMドメイン・エージェントの転送モード。

有効な値: OPEN | SIMPLE | CERT

OAM11G_IDM_DOMAIN_LOGOUT_URLS

/console/jsp/common/logout.jsp,/em/targetauth/emaslogout.jsp

Access ManagerログアウトURLのカンマ区切りリスト。

OAM11G_WLS_ADMIN_HOST

myhost.example.com

Access Managerドメイン管理サーバーのホスト名。

OAM11G_WLS_ADMIN_PORT

7001

Access Managerドメイン管理サーバーが実行されているポート。

OAM11G_WLS_ADMIN_USER

wlsadmin

Access Managerドメイン管理者のユーザー名。

OIM_DB_URL

Oracle Identity Managerデータベースの接続に必要なURL。

OIM_DB_SCHEMA_USERNAME

Oracle Identity Managerデータベースのスキーマのユーザー。

OIM_FRONT_END_HOST

host123.example.com

Oracle Identity ManagerのフロントエンドであるLBRサーバーのホスト名。

OIM_FRONT_END_PORT

7011

Oracle Identity ManagerのフロントエンドであるLBRサーバーのポート番号。

OIM_MANAGED_SERVER_NAME

WLS_OIM1

Oracle Identity Manager管理対象サーバーの名前。クラスタの場合、管理対象サーバーを指定できます。

OIM_MANAGED_SERVER_HOST

Oracle Identity Manager管理対象サーバーのホスト名。

OIM_MANAGED_SERVER_PORT

Oracle Identity Manager管理対象サーバーのポート番号。

OIM_T3_HOST

Oracle Identity Manager T3サーバーのホスト名。

OIM_T3_PORT

Oracle Identity Manager T3サーバーのポート番号。

OIM_WAS_CELL_CONFIG_DIR

IBM WebSphere上のOracle Identity Managerセル内のfmwconfigディレクトリの場所。

OVD_HOST

OVDサーバーのホスト名

OVD_PORT

OVDサーバーのポート番号

OVD_BINDDN

OVDサーバーのバインドDN

OVD_SSL

接続でSSLを使用するかどうかを示します。

有効な値はTrueまたはFalseです

POLICYSTORE_SHARES_IDSTORE

true

ポリシー・ストアおよびアイデンティティ・ストアがディレクトリを共有するかどうかを示します。リリース11gでは常にtrueです。

有効な値: true、false

POLICYSTORE_HOST

mynode.us.example.com

ポリシー・ストア・ディレクトリのホスト名。

POLICYSTORE_PORT

1234

ポリシー・ストア・ディレクトリのポート番号。

POLICYSTORE_BINDDN

cn=orcladmin

ポリシー・ストア・ディレクトリの管理ユーザー。

POLICYSTORE_SEARCHBASE

dc=example,dc=com

ユーザーおよびグループが保存されるディレクトリの場所。

POLICYSTORE_SYSTEMIDBASE

cn=systemids, dc=example,dc=com

ポリシー・ストアの読取り専用および読取り/書込みユーザーは、この場所に作成されます。

デフォルト値は、cn=systemids, policy_store_search_baseです。

POLICYSTORE_READONLYUSER

PolStoreROUser

ポリシー・ストア内の読取り権限を持つユーザー。

POLICYSTORE_READWRITEUSER

PolStoreRWUser

ポリシー・ストア内の読取りおよび書込み権限を持つユーザー。

POLICYSTORE_CONTAINER

cn=jpsroot

OPSSポリシー情報に使用されるコンテナの名前。

POLICYSTORE_SSL_ENABLED

ポリシー・ストアがSSL有効であるかどうか。

POLICYSTORE_KEYSTORE_FILE

SSL有効ポリシー・ストアのキーストア・ファイルの場所。

SPLIT_DOMAIN

true

configOAMの実行対象のドメイン内にセキュリティ・プロバイダを作成するように強制するフラグ。

有効な値はtrue、falseです。

SSO_ENABLED_FLAG

false

SSOが有効かどうかを判断するフラグ。

有効な値はtrue、falseです。

WEBGATE_TYPE

javaWebgate

作成するWebGateエージェントのタイプ。次の値に設定します。

- Webgateバージョン10を使用する場合は、ohsWebgate10g

- Webgateバージョン11を使用する場合は、ohsWebgate11g

PRIMARY_OAM_SERVERS

idmhost1.example.com:5575,idmhost2.example.com:5575

Access Managerサーバーおよびそれらのプロキシ・ポートのカンマ区切りリスト。

WLSHOST

node01.example.com

WebLogic Serverのホスト名

WLSPORT

7001

WebLogic Serverのポート番号

WLSADMIN

wlsadmin

アプリケーション・サーバーのコンテキストに応じた、管理者ログイン。

2.3.5 ログ・ファイルのクリーン・アップ

idmConfigToolでは、実行の詳細がautomation.logという名前のファイルに記録されます。実行のたびに、automation.logに追加されます。エラーの詳細は修正後もログに存在するため、ログにエラーが表示されて修正した場合、誤解される可能性があります。

古いログ・エントリによる混乱を防ぐために、既存のログ・ファイルを頻繁にバックアップします。

2.4 コマンド・オプションとプロパティ

この項では、各コマンド・オプションのプロパティを示します。内容は次のとおりです。

- preConfigIDStoreコマンド

- prepareIDStoreコマンド

- configPolicyStoreコマンド

- configOAMコマンド

- configOIMコマンド

- postProvConfigコマンド

- upgradeLDAPUsersForSSOコマンド

- validate IDStoreコマンド

- validate PolicyStoreコマンド

- validate OAMコマンド(11g)

- validate OAMコマンド(10g)

- validate OIMコマンド

- configOVDコマンド

- ovdConfigUpgradeコマンド

- disableOVDAccessConfigコマンド

- upgradeOIMTo11gWebgate

注意:

- コマンド・オプションは、Linux上のコマンド構文のみを示しています。Windowsの構文のガイドラインは、第2.3.1項を参照してください。

- このツールでは、パスワードの入力が要求されます。

2.4.1 preConfigIDStoreコマンド

構文

./idmConfigTool.sh -preConfigIDStore input_file=input_properties

プロパティ

表2-3は、このモードのプロパティを示しています。

表2-3 preConfigIDStoreのプロパティ

プロパティ

必須かどうか

IDSTORE_HOST

YES

IDSTORE_PORT

YES

IDSTORE_BINDDN

YES

IDSTORE_LOGINATTRIBUTE

IDSTORE_USERNAMEATTRIBUTE

YES

IDSTORE_USERSEARCHBASE

YES

IDSTORE_GROUPSEARCHBASE

YES

IDSTORE_SEARCHBASE

YES

IDSTORE_SYSTEMIDBASE

POLICYSTORE_SHARES_IDSTORE

IDSTORE_ADMIN_PORT

YES (ターゲット・アイデンティティ・ストアがOracle Unified Directory (OUD)のインスタンスである場合。)

IDSTORE_KEYSTORE_FILE

YES (ターゲット・アイデンティティ・ストアがOracle Unified Directoryである場合)。

使用する形式:
OUD-instance-path
/OUD/config/admin-keystore

ここで、OUD-instance-pathはOracle Unified Directoryインスタンスへのパスです。

プロパティ・ファイルの例

このオプションのサンプル・プロパティ・ファイルは次のとおりです。

IDSTORE_HOST : idstore.example.com
IDSTORE_PORT : 389
IDSTORE_BINDDN : cn=orcladmin
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_USERSEARCHBASE: cn=Users,dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=example,dc=com
IDSTORE_SEARCHBASE: dc=example,dc=com
IDSTORE_SYSTEMIDBASE: cn=systemids,dc=example,dc=com

Oracle Unified Directoryに対するpreconfigIDStoreの使用

Oracle Unified Directoryに対してpreconfigIDStoreを使用する場合は、プロパティ・ファイルで指定されたインスタンス内にのみ、グローバルACIおよび索引が再作成されます。Oracle Unified Directoryによるレプリケートは行われません。レプリケーション・ドメインのその他すべてのOracle Unified Directoryのインスタンスについて、グローバルACIおよび索引を手動で再作成(削除後、作成)する必要があります。

詳細は、第2.5項を参照してください。

2.4.2 prepareIDStoreコマンド

構文

prepareIDStoreコマンドは、指定されたコンポーネントのタスクを実行するために引数としてmodeを使用します。モードを指定するための構文は次のとおりです。

./idmConfigTool.sh -prepareIDStore mode=mode
input_file=filename_with_Configproperties

モードは次のいずれかである必要があります。

- OAM

- OIM

- OAAM

- WLS

- FUSION

- WAS

- APM

- all (前述のモードのすべてのタスクを結合して実行します)

注意:

WLSモードは、OAMの前に実行する必要があります。

2.4.2.1 prepareIDStore mode=OAM

このモードでは次のものが作成されます。

- Access Managerコンポーネントで必要なスキーマ拡張の実行

- oblixスキーマの作成

- OAMSoftwareユーザーの作成

- OblixAnonymousユーザーの作成

- Access Manager管理ユーザーの作成(オプション)

- ユーザーと対応する個々のグループとの関連付け

- グループorclFAOAMUserWritePrivilegeGroupの作成

構文

./idmConfigTool.sh -prepareIDStore mode=OAM
input_file=filename_with_Configproperties

プロパティ

表2-4は、このモードのプロパティを示しています。

表2-4 prepareIDStore mode=OAMプロパティ

パラメータ

必須かどうか

IDSTORE_HOST

YES

IDSTORE_PORT

YES

IDSTORE_BINDDN

YES

IDSTORE_USERNAMEATTRIBUTE

YES

IDSTORE_LOGINATTRIBUTE

OAM11G_IDSTORE_ROLE_SECURITY_ADMIN

IDSTORE_USERSEARCHBASE

YES

IDSTORE_GROUPSEARCHBASE

YES

IDSTORE_SEARCHBASE

YES

IDSTORE_OAMSOFTWAREUSER

IDSTORE_OAMADMINUSER

IDSTORE_SYSTEMIDBASE

IDSTORE_ADMIN_PORT

YES (ターゲット・アイデンティティ・ストアがOracle Unified Directory (OUD)のインスタンスである場合。)

プロパティ・ファイルの例

このオプションのサンプル・プロパティ・ファイルは次のとおりです。このパラメータのセットによって、OAMADMINUSERおよびOAMSOFTWAREユーザーがアイデンティティ・ストアに作成されます。

IDSTORE_HOST : idstore.example.com
IDSTORE_PORT : 389
IDSTORE_BINDDN : cn=orcladmin
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_USERSEARCHBASE: cn=Users,dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=example,dc=com
IDSTORE_SEARCHBASE: dc=example,dc=com
POLICYSTORE_SHARES_IDSTORE: true
OAM11G_IDSTORE_ROLE_SECURITY_ADMIN:OAMAdministrators
IDSTORE_OAMSOFTWAREUSER:oamLDAP
IDSTORE_OAMADMINUSER:oamadmin
IDSTORE_SYSTEMIDBASE: cn=systemids,dc=example,dc=com

2.4.2.2 prepareIDStore mode=OIM

このモードでは次のものが作成されます。

- SystemIDコンテナの下でのOracle Identity Manager管理ユーザーの作成

- Oracle Identity Manager管理グループの作成

- Oracle Identity Manager管理グループへのOracle Identity Manager管理ユーザーの追加

- Oracle Identity Manager管理グループへのACIの追加

- 予約コンテナの作成

- xelsysadminユーザーの作成

構文

./idmConfigTool.sh -prepareIDStore mode=OIM
input_file=filename_with_Configproperties

プロパティ

表2-5は、このモードのプロパティを示しています。

表2-5 prepareIDStore mode=OIMプロパティ

パラメータ

必須かどうか

IDSTORE_HOST

YES

IDSTORE_PORT

YES

IDSTORE_BINDDN

YES

IDSTORE_USERNAMEATTRIBUTE

YES

IDSTORE_LOGINATTRIBUTE

IDSTORE_USERSEARCHBASE

YES

IDSTORE_GROUPSEARCHBASE

YES

IDSTORE_SEARCHBASE

YES

IDSTORE_OIMADMINUSER

IDSTORE_OIMADMINGROUP

IDSTORE_SYSTEMIDBASE

IDSTORE_ADMIN_PORT

YES (ターゲット・アイデンティティ・ストアがOracle Unified Directory (OUD)のインスタンスである場合。)

OIM_DB_URL

IBM WebSphereでは必須。

OIM_DB_SCHEMA_USERNAME

IBM WebSphereでは必須。

OIM_WAS_CELL_CONFIG_DIR

IBM WebSphereでは必須。

プロパティ・ファイルの例

このオプションのサンプル・プロパティ・ファイルは次のとおりです。このセットのプロパティで、OIMADMINUSERがIDSTORE_SYSTEMIDBASEに作成されます。

IDSTORE_HOST : idstore.example.com
IDSTORE_PORT : 389
IDSTORE_BINDDN : cn=orcladmin
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_USERSEARCHBASE:cn=Users,dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=example,dc=com
IDSTORE_SEARCHBASE: dc=example,dc=com
POLICYSTORE_SHARES_IDSTORE: true
IDSTORE_SYSTEMIDBASE: cn=systemids,dc=example,dc=com
IDSTORE_OIMADMINUSER: oimadmin
IDSTORE_OIMADMINGROUP:OIMAdministrators
OIM_DB_URL: jdbc:oracle:thin:@xyz5678.us.example.com:5522:wasdb1
OIM_DB_SCHEMA_USERNAME: dev_oim
OIM_WAS_CELL_CONFIG_DIR: /wassh/WebSphere/AppServer/profiles/Dmgr04/config/cells/xyz5678Cell04/fmwconfig

2.4.2.3 prepareIDStore mode=OAAM

このモードでは次のものが作成されます。

- Oracle Adaptive Access Manager管理ユーザーの作成

- Oracle Adaptive Access Managerグループの作成

- Oracle Adaptive Access Manager管理ユーザーをOracle Adaptive Access Managerグループのメンバーとして追加

構文

./idmConfigTool.sh -prepareIDStore mode=OAAM
input_file=filename_with_Configproperties

プロパティ

表2-6は、このモードのプロパティを示しています。

表2-6 prepareIDStore mode=OAAMプロパティ

パラメータ

必須かどうか

IDSTORE_HOST

YES

IDSTORE_PORT

YES

IDSTORE_BINDDN

YES

IDSTORE_USERNAMEATTRIBUTE

IDSTORE_LOGINATTRIBUTE

IDSTORE_USERSEARCHBASE

IDSTORE_GROUPSEARCHBASE

IDSTORE_SEARCHBASE

IDSTORE_OAAMADMINUSER

YES

IDSTORE_ADMIN_PORT

YES (ターゲット・アイデンティティ・ストアがOracle Unified Directory (OUD)のインスタンスである場合。)

2.4.2.4 prepareIDStore mode=WLS

WLS (Oracle WebLogic Server)モードでは次のものが作成されます。

- Weblogic管理ユーザーの作成

- Weblogic管理グループの作成

- Weblogic管理グループのメンバーとしてのWeblogic管理ユーザーの追加

構文

./idmConfigTool.sh -prepareIDStore mode=WLS
input_file=filename_with_Configproperties

プロパティ

表2-7は、このモードのプロパティを示しています。

表2-7 prepareIDStore mode=WLSプロパティ

パラメータ

必須かどうか

IDSTORE_HOST

YES

IDSTORE_PORT

YES

IDSTORE_BINDDN

YES

IDSTORE_USERNAMEATTRIBUTE

YES

IDSTORE_LOGINATTRIBUTE

IDSTORE_USERSEARCHBASE

YES

IDSTORE_GROUPSEARCHBASE

YES

IDSTORE_SEARCHBASE

YES

IDSTORE_WLSADMINUSER

YES

IDSTORE_WLSADMINGROUP

YES

IDSTORE_ADMIN_PORT

YES (ターゲット・アイデンティティ・ストアがOracle Unified Directory (OUD)のインスタンスである場合。)

プロパティ・ファイルの例

このオプションのサンプル・プロパティ・ファイルは次のとおりです。このセットのプロパティで、IDM管理者グループが作成されます。

IDSTORE_HOST: idstore.example.com
IDSTORE_PORT: 389
IDSTORE_BINDDN: cn=orcladmin
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_USERSEARCHBASE: cn=Users, dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=example,dc=com
IDSTORE_SEARCHBASE: dc=example,dc=com
POLICYSTORE_SHARES_IDSTORE: true
IDSTORE_WLSADMINUSER: weblogic_idm
IDSTORE_WLSADMINGROUP: wlsadmingroup

2.4.2.5 prepareIDStore mode=WAS

WAS (IBM WebSphere)モードでは、次のアクションが発生します。

- WebSphere管理ユーザーの作成

- WebSphere管理グループの作成

- WebSphere管理グループのメンバーとしてのWebSphere管理ユーザーの追加

構文

./idmConfigTool.sh -prepareIDStore mode=WAS
input_file=filename_with_Configproperties

プロパティ

表2-8は、このモードのプロパティを示しています。

表2-8 prepareIDStore mode=WASプロパティ

パラメータ

必須かどうか

IDSTORE_HOST

YES

IDSTORE_PORT

YES

IDSTORE_BINDDN

YES

IDSTORE_USERNAMEATTRIBUTE

YES

IDSTORE_LOGINATTRIBUTE

IDSTORE_USERSEARCHBASE

YES

IDSTORE_GROUPSEARCHBASE

YES

IDSTORE_SEARCHBASE

YES

IDSTORE_WASADMINUSER

YES (wsadminユーザー)

IDSTORE_ADMIN_PORT

YES (ターゲット・アイデンティティ・ストアがOracle Unified Directory (OUD)のインスタンスである場合。)

プロパティ・ファイルの例

このオプションのサンプル・プロパティ・ファイルは次のとおりです。このセットのプロパティで、IDM管理者グループが作成されます。

IDSTORE_HOST: idstore.example.com
IDSTORE_PORT: 389
IDSTORE_BINDDN: cn=orcladmin
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_USERSEARCHBASE: cn=Users, dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=example,dc=com
IDSTORE_SEARCHBASE: dc=example,dc=com
POLICYSTORE_SHARES_IDSTORE: true
IDSTORE_WASADMINUSER: websphere_idm

2.4.2.6 prepareIDStore mode=APM

このモードでは次のものが作成されます。

- Oracle Privileged Account Manager管理ユーザーの作成

- Oracle Privileged Account Manager管理ユーザーのOracle Privileged Account Manager Groupsのメンバーとしての追加

アイデンティティ・ストアへの接続に使用するアカウントのパスワードを入力するように要求されます。

構文

./idmConfigTool.sh -prepareIDStore mode=APM
input_file=filename_with_Configproperties

プロパティ

表2-6は、このモードのプロパティを示しています。

表2-9 prepareIDStore mode=APMプロパティ

パラメータ

必須かどうか

IDSTORE_HOST

YES

IDSTORE_PORT

YES

IDSTORE_BINDDN

YES

IDSTORE_USERNAMEATTRIBUTE

IDSTORE_LOGINATTRIBUTE

IDSTORE_USERSEARCHBASE

IDSTORE_GROUPSEARCHBASE

IDSTORE_SEARCHBASE

POLICYSTORE_SHARES_IDSTORE

YES

IDSTORE_APMUSER

YES

プロパティ・ファイルの例

このオプションのサンプル・プロパティ・ファイルは次のとおりです。

IDSTORE_HOST: idstore.example.com
IDSTORE_PORT: 389
IDSTORE_BINDDN: cn=orcladmin
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_USERSEARCHBASE: cn=Users,dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=example,dc=com
IDSTORE_SEARCHBASE: dc=example,dc=com
POLICYSTORE_SHARES_IDSTORE: true
IDSTORE_APMUSER: opamadmin

2.4.2.7 prepareIDStore mode=fusion

このモードでは、次のアクションが実行されます。

- 読取り専用ユーザーの作成

- 読取り/書込みユーザーの作成

- スーパーユーザーの作成

- グループorclFAGroupReadPrivilegeGroupおよびorclFAUserWritePrefsPrivilegeGroupへのreadOnlyユーザーの追加

- グループorclFAUserWritePrivilegeGroupおよびorclFAGroupWritePrivilegeGroupへのreadWriteユーザーの追加

構文

./idmConfigTool.sh -prepareIDStore mode=fusion
input_file=filename_with_Configproperties

プロパティ

表2-10は、このモードのプロパティを示しています。

表2-10 prepareIDStore mode=fusionプロパティ

パラメータ

必須かどうか

IDSTORE_HOST

YES

IDSTORE_PORT

YES

IDSTORE_BINDDN

YES

IDSTORE_USERNAMEATTRIBUTE

YES

IDSTORE_LOGINATTRIBUTE

IDSTORE_USERSEARCHBASE

YES

IDSTORE_GROUPSEARCHBASE

YES

IDSTORE_SEARCHBASE

YES

IDSTORE_READONLYUSER

IDSTORE_READWRITEUSER

IDSTORE_SUPERUSER

IDSTORE_SYSTEMIDBASE

POLICYSTORE_SHARES_IDSTORE

IDSTORE_ADMIN_PORT

YES (ターゲット・アイデンティティ・ストアがOracle Unified Directory (OUD)のインスタンスである場合。)

プロパティ・ファイルの例

このオプションのサンプル・プロパティ・ファイルは次のとおりです。これによってIDSTORE_SUPERUSERが作成されます。

IDSTORE_HOST : idstore.example.com
IDSTORE_PORT : 389
IDSTORE_BINDDN : cn=orcladmin
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_READONLYUSER: IDROUser
IDSTORE_READWRITEUSER: IDRWUser
IDSTORE_USERSEARCHBASE:cn=Users,dc=example,dc=com
IDSTORE_SEARCHBASE: dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=mycomapny,dc=com
IDSTORE_SYSTEMIDBASE: cn=systemids,dc=example,dc=com
IDSTORE_SUPERUSER: weblogic_fa
POLICYSTORE_SHARES_IDSTORE: true

2.4.2.8 prepareIDStore mode=all

このモードでは、モードOAM、OIM、WLS、WAS、OAAMおよびFUSIONで実行されるすべてのタスクが実行されます。

構文

./idmConfigTool.sh -prepareIDStore mode=all
input_file=filename_with_Configproperties

プロパティ

表2-11は、このモードのプロパティを示しています。

表2-11 prepareIDStore mode=allプロパティ

パラメータ

必須かどうか

IDSTORE_HOST

YES

IDSTORE_PORT

YES

IDSTORE_BINDDN

YES

IDSTORE_USERSEARCHBASE

YES

IDSTORE_GROUPSEARCHBASE

YES

IDSTORE_LOGINATTRIBUTE

IDSTORE_SEARCHBASE

YES

IDSTORE_SYSTEMIDBASE

IDSTORE_READONLYUSER

IDSTORE_READWRITEUSER

IDSTORE_SUPERUSER

IDSTORE_OAMSOFTWAREUSER

IDSTORE_OAMADMINUSER

IDSTORE_OIMADMINUSER

IDSTORE_OIMADMINGROUP

IDSTORE_USERNAMEATTRIBUTE

YES

IDSTORE_OAAMADMINUSER

YES

IDSTORE_WLSADMINUSER

YES

IDSTORE_WLSADMINGROUP

YES

IDSTORE_ADMIN_PORT

YES (ターゲット・アイデンティティ・ストアがOracle Unified Directory (OUD)のインスタンスである場合。)

OAM11G_IDSTORE_ROLE_SECURITY_ADMIN

POLICYSTORE_SHARES_IDSTORE

OIM_DB_URL

IBM WebSphereでは必須

OIM_DB_SCHEMA_USERNAME

IBM WebSphereでは必須

OIM_WAS_CELL_CONFIG_DIR

IBM WebSphereでは必須

IDSTORE_WASADMINUSER

IBM WebSphereでは必須

プロパティ・ファイルの例

このオプションのサンプル・プロパティ・ファイルは次のとおりです。

IDSTORE_HOST : node01.example.com
IDSTORE_PORT : 2345
IDSTORE_BINDDN: cn=orcladmin
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_USERSEARCHBASE: cn=Users,dc=example,dc=com
IDSTORE_SEARCHBASE: dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=example,dc=com
IDSTORE_SYSTEMIDBASE: cn=systemids,dc=example,dc=com
IDSTORE_READONLYUSER: IDROUser
IDSTORE_READWRITEUSER: IDRWUser
IDSTORE_SUPERUSER: weblogic_fa
IDSTORE_OAMSOFTWAREUSER:oamSoftwareUser
IDSTORE_OAMADMINUSER:oamAdminUser
IDSTORE_OIMADMINUSER: oimadminuser
POLICYSTORE_SHARES_IDSTORE: true
OAM11G_IDSTORE_ROLE_SECURITY_ADMIN:OAMAdministrators
IDSTORE_OIMADMINGROUP: OIMAdministrators
IDSTORE_WLSADMINUSER: weblogic_idm
IDSTORE_WLSADMINGROUP: wlsadmingroup
IDSTORE_OAAMADMINUSER: oaamAdminUser
OIM_DB_URL: jdbc:oracle:thin:@xyz5678.us.example.com:5522:wasdb1
OIM_DB_SCHEMA_USERNAME: dev_oim
OIM_WAS_CELL_CONFIG_DIR: /wassh/WebSphere/AppServer/profiles/Dmgr04/config/cells/xyz5678Cell04/fmwconfig
IDSTORE_WASADMINUSER: websphere_idm

2.4.3 configPolicyStoreコマンド

構文

./idmConfigTool.sh -configPolicyStore input_file=input_properties

プロパティ

表2-12は、このコマンドのプロパティを示しています。

表2-12 ConfigPolicyStoreのプロパティ

プロパティ

必須かどうか

POLICYSTORE_HOST

YES

POLICYSTORE_PORT

YES

POLICYSTORE_BINDDN

YES

POLICYSTORE_SEARCHBASE

YES

POLICYSTORE_SYSTEMIDBASE

POLICYSTORE_READONLYUSER

POLICYSTORE_READWRITEUSER

POLICYSTORE_CONTAINER

YES

プロパティ・ファイルの例

このオプションのサンプル・プロパティ・ファイルは次のとおりです。これによってポリシー・ストアに読取り専用ユーザーおよび読取り書込みユーザーが作成されます。

POLICYSTORE_HOST: mynode.us.example.com
POLICYSTORE_PORT: 3060
POLICYSTORE_BINDDN: cn=orcladmin
POLICYSTORE_READONLYUSER: PolicyROUser
POLICYSTORE_READWRITEUSER: PolicyRWUser
POLICYSTORE_SEARCHBASE: dc=example,dc=com
POLICYSTORE_CONTAINER: cn=jpsroot

2.4.4 configOAMコマンド

構文

./idmConfigTool.sh -configOAM input_file=input_properties

プロパティ

表2-13は、このコマンドのプロパティを示しています。

表2-13 configOAMのプロパティ

プロパティ

必須かどうか

WLSHOST

YES

WLSPORT

YES

WLSADMIN

YES

IDSTORE_BINDDN

YES

IDSTORE_HOST

YES

IDSTORE_PORT

YES

IDSTORE_DIRECTORYTYPE

IDSTORE_USERNAMEATTRIBUTE

IDSTORE_LOGINATTRIBUTE

IDSTORE_USERSEARCHBASE

YES

IDSTORE_SEARCHBASE

YES

IDSTORE_GROUPSEARCHBASE

YES

IDSTORE_OAMSOFTWAREUSER

IDSTORE_OAMADMINUSER

IDSTORE_SYSTEMIDBASE

YES

PRIMARY_OAM_SERVERS

WEBGATE_TYPE

ACCESS_GATE_ID

OAM_TRANSFER_MODE

COOKIE_DOMAIN

COOKIE_EXPIRY_INTERVAL

OAM11G_WG_DENY_ON_NOT_PROTECTED

OAM11G_IDM_DOMAIN_OHS_HOST

OAM11G_IDM_DOMAIN_OHS_PORT

OAM11G_IDM_DOMAIN_OHS_PROTOCOL

OAM11G_OAM_SERVER_TRANSFER_MODE

OAM11G_IDM_DOMAIN_LOGOUT_URLS

OAM11G_OIM_WEBGATE_PASSWD

OAM11G_IDSTORE_ROLE_SECURITY_ADMIN

OAM11G_SSO_ONLY_FLAG

OAM11G_OIM_INTEGRATION_REQ

OAM11G_IMPERSONATION_FLAG

Oracle Fusion Applicationsのみ。

OAM11G_SERVER_LBR_HOST

OAM11G_SERVER_LBR_PORT

OAM11G_SERVER_LBR_PROTOCOL

OAM11G_SERVER_LOGIN_ATTRIBUTE

OAM11G_IDSTORE_NAME

YES

POLICYSTORE_SHARES_IDSTORE

SPLIT_DOMAIN

プロパティ・ファイルの例

このオプションのサンプル・プロパティ・ファイルは次のとおりです。これによってAccess Manager内にWebゲートのエントリが作成されます。

WLSHOST: adminvhn.example.com
WLSPORT: 7001
WLSADMIN: weblogic
IDSTORE_HOST: idstore.example.com
IDSTORE_PORT: 389
IDSTORE_BINDDN: cn=orcladmin
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_USERSEARCHBASE: cn=Users,dc=example,dc=com
IDSTORE_SEARCHBASE: dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=example,dc=com
IDSTORE_OAMSOFTWAREUSER: oamLDAP
IDSTORE_OAMADMINUSER: oamadmin
PRIMARY_OAM_SERVERS: oamhost1.example.com:5575,oamhost2.example.com:5575
WEBGATE_TYPE: ohsWebgate11g
ACCESS_GATE_ID: Webgate_IDM
OAM11G_IDM_DOMAIN_OHS_HOST:sso.example.com
OAM11G_IDM_DOMAIN_OHS_PORT:443
OAM11G_IDM_DOMAIN_OHS_PROTOCOL:https
OAM11G_OAM_SERVER_TRANSFER_MODE:simple
OAM11G_IDM_DOMAIN_LOGOUT_URLS: /console/jsp/common/logout.jsp,/em/targetauth/emaslogout.jsp
OAM11G_WG_DENY_ON_NOT_PROTECTED: false
OAM11G_SERVER_LOGIN_ATTRIBUTE: uid
OAM_TRANSFER_MODE: simple
COOKIE_DOMAIN: .example.com
OAM11G_IDSTORE_ROLE_SECURITY_ADMIN: OAMAdministrators
OAM11G_SSO_ONLY_FLAG: true
OAM11G_OIM_INTEGRATION_REQ: true or false
OAM11G_IMPERSONATION_FLAG:true
OAM11G_SERVER_LBR_HOST:sso.example.com
OAM11G_SERVER_LBR_PORT:443
OAM11G_SERVER_LBR_PROTOCOL:https
COOKIE_EXPIRY_INTERVAL: -1
OAM11G_OIM_OHS_URL:https://sso.example.com:443/
SPLIT_DOMAIN: true
OAM11G_IDSTORE_NAME: OAMIDStore
IDSTORE_SYSTEMIDBASE: cn=systemids,dc=example,dc=com

使用上の注意

このコマンドを実行すると、このツールによって次のものの入力が要求されます。

- 接続先のアイデンティティ・ストア・アカウントのパスワード

- Access Manager管理者パスワード

- Access Managerソフトウェア・ユーザー・パスワード

IBM WebSphere環境では、次のようにします。

- Oracle Access ManagerのWebSphereセルからidmconfigtoolを実行します。

- プロパティ・ファイルで次を指定し、IBM WebSphereサーバーの詳細を設定します。

- WLSHOST: WebSphere Application Serverのホスト

- WLSPORT: WebSphere Application Serverのブートストラップ・ポート

- WLSADMIN: Oracle Access Manager管理コンソールのログインID

2.4.5 configOIMコマンド

11g リリース2 (11.1.2)の時点では、configOIMはデフォルトで11g Webゲートをサポートしています。詳細は、WEBGATE_TYPEオプションを参照してください。

表に示すように、Oracle Identity ManagerとAccess Managerが別々のWebLogicドメインに構成されている場合は、特定のプロパティが必要です。

構文

./idmConfigTool.sh -configOIM input_file=input_file_with_path

プロパティ

表2-14は、このコマンドのプロパティを示しています。

表2-14 configOIMのプロパティ

プロパティ

必須かどうか

LOGINURI

Oracle Platform Security Services (OPSS)で必要です。

LOGOUTURI

OPSSで必要です。

AUTOLOGINURI

OPSSで必要です。

ACCESS_SERVER_HOST

ACCESS_GATE_ID

ACCESS_SERVER_PORT

COOKIE_DOMAIN

COOKIE_EXPIRY_INTERVAL

WEBGATE_TYPE

OAM_TRANSFER_MODE

SSO_ENABLED_FLAG

IDSTORE_HOST

YES

IDSTORE_PORT

YES

IDSTORE_BINDDN

YES

IDSTORE_DIRECTORYTYPE

IDSTORE_LOGINATTRIBUTE

IDSTORE_ADMIN_USER

IDSTORE_SEARCHBASE

IDSTORE_USERSEARCHBASE

YES

IDSTORE_GROUPSEARCHBASE

YES

MDS_DB_URL

MDS_DB_SCHEMA_USERNAME

WLSHOST

YES

WLSPORT

YES

WLSADMIN

YES

DOMAIN_NAME

DOMAIN_LOCATION

OIM_MANAGED_SERVER_NAME

OIM_WEB_SERVER_HOST

OIM_WEB_SERVER_PORT

OAM_SERVER_VERSION

Oracle Identity Manager-Access Manager統合において、Access Managerサーバーで11g Webゲートがサポートされていない場合にのみ必須です。そのような場合は、値として10gを指定します。

OAM11G_WLS_ADMIN_HOST

Access ManagerサーバーとOracle Identity Managerサーバーが別々のWeblogicドメインに構成されている(つまり、クロスドメイン・セットアップである)場合に必須です。

OAM11G_WLS_ADMIN_PORT

Access ManagerサーバーとOracle Identity Managerサーバーが別々のWeblogicドメインに構成されている(つまり、クロスドメイン・セットアップである)場合に必須です。

OAM11G_WLS_ADMIN_USER

Access ManagerサーバーとOracle Identity Managerサーバーが別々のWeblogicドメインに構成されている(つまり、クロスドメイン・セットアップである)場合に必須です。

WLSPASSWD

IBM WebSphereでは必須。

OAM11G_WLS_ADMIN_PASSWD

IBM WebSphereでは必須。

プロパティ・ファイルの例

このオプションのサンプル・プロパティ・ファイルは次のとおりです。SSOAccessKey、SSOKeystoreKey、SSOGlobalPPのキーが資格証明ストア・フレームワーク(CSF)にシードされます。

LOGINURI: /${app.context}/adfAuthentication
LOGOUTURI: /oamsso/logout.html
AUTOLOGINURI: None
ACCESS_SERVER_HOST: OAMHOST1.example.com
ACCESS_SERVER_PORT: 5575
ACCESS_GATE_ID: Webgate_IDM
COOKIE_DOMAIN: .example.com
COOKIE_EXPIRY_INTERVAL: -1
OAM_TRANSFER_MODE: simple
WEBGATE_TYPE: ohsWebgate11g
SSO_ENABLED_FLAG: true
IDSTORE_PORT: 389
IDSTORE_HOST: idstore.example.com
IDSTORE_DIRECTORYTYPE: OVD
IDSTORE_ADMIN_USER: cn=oamLDAP,cn=Users,dc=example,dc=com
IDSTORE_USERSEARCHBASE: cn=Users,dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=example,dc=com
MDS_DB_URL: jdbc:oracle:thin:DB Hostname:DB portno.:SID
MDS_DB_SCHEMA_USERNAME: edg_mds
WLSHOST: adminvhn.example.com
WLSPORT: 7001
WLSADMIN: weblogic
DOMAIN_NAME: IDMDomain
OIM_MANAGED_SERVER_NAME: WLS_OIM1
DOMAIN_LOCATION: ORACLE_BASE/admin/IDMDomain/aserver/IDMDomain
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_SEARCHBASE: dc=us,dc=example,dc=com
OIM_WEB_SERVER_HOST: tx401alu.us.example.com
OIM_WEB_SERVER_PORT: 7777
OAM11G_WLS_ADMIN_HOST: abc1234.us.example.com
OAM11G_WLS_ADMIN_PORT: 9810
OAM11G_WLS_ADMIN_USER: wasadmin

使用上の注意

IBM WebSphere環境では、次のようにします。

- Oracle Identity Manager (OIM)とOracle Access Management (OAM)が、2つの異なるWebSphereセルに構成されている場合は、次のプロパティを指定する必要があります。

- OAM11G_WLS_ADMIN_HOST

- OAM11G_WLS_ADMIN_PORT

- OAM11G_WLS_ADMIN_USER

- OIMとOAMが、同一のWebSphereセルの一部である場合は、前述のプロパティを指定する必要はありません。

- 次のconfigOIMコマンドのプロパティは、WebSphere固有のものです。

- IDSTORE_SEARCHBASE: アイデンティティ・ストアの検索ベース

- OIM_WEB_SERVER_HOST: IBM HTTP Server (IHS)ホストまたはOracle HTTP Server (OHS)ホスト

- OIM_WEB_SERVER_PORT: IBM HTTP Server (IHS)ポートまたはOracle HTTP Server (OHS)ポート

2.4.6 postProvConfigコマンド

構文

./idmConfigTool.sh -postProvConfig input_file=postProvConfig.props

プロパティ

このコマンドのプロパティは、preConfigIDStoreコマンドのものと同じです。

プロパティ・ファイルの例

このオプションのサンプル・プロパティ・ファイルは次のとおりです。

IDSTORE_HOST: host01.example.com
IDSTORE_PORT: 3060
IDSTORE_BINDDN: cn=orcladmin
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=example,dc=com
IDSTORE_SEARCHBASE: dc=example,dc=com
IDSTORE_USERSEARCHBASE: cn=systemids,dc=example,dc=com
POLICYSTORE_CONTAINER: cn=FAPolicies
POLICYSTORE_HOST: host01.ca.example.com
POLICYSTORE_PORT: 3060
POLICYSTORE_BINDDN: cn=orcladmin
POLICYSTORE_READWRITEUSER: cn=PolicyRWUser,cn=systemids,dc=example,dc=com
OVD_HOST: host01.ca.example.com
OVD_PORT: 6501
OVD_BINDDN: cn=orcladmin
OIM_T3_URL : t3://host02.ca.example.com:14000
OIM_SYSTEM_ADMIN : abcdef

2.4.7 upgradeLDAPUsersForSSOコマンド

構文

idmConfigTool.sh -upgradeLDAPUsersForSSO input_file=input_Properties

プロパティ

表2-15は、このコマンドのプロパティを示しています。

表2-15 upgradeLDAPUsersForSSOのプロパティ

プロパティ

必須かどうか

IDSTORE_HOST

YES

IDSTORE_PORT

YES

IDSTORE_ADMIN_USER

YES

IDSTORE_DIRECTORYTYPE

IDSTORE_USERSEARCHBASE

YES

IDSTORE_GROUPSEARCHBASE

YES

PASSWORD_EXPIRY_PERIOD

IDSTORE_LOGINATTRIBUTE

プロパティ・ファイルの例

このオプションのサンプル・プロパティ・ファイルは次のとおりです。

IDSTORE_HOST: idstore.example.com
IDSTORE_PORT: 389
IDSTORE_ADMIN_USER: cn=orcladmin
IDSTORE_DIRECTORYTYPE:OVD
IDSTORE_USERSEARCHBASE: cn=Users,dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=example,dc=com
PASSWORD_EXPIRY_PERIOD: 7300
IDSTORE_LOGINATTRIBUTE: uid

2.4.8 validate IDStoreコマンド

構文

./idmConfigTool.sh -validate component=IDSTORE input_file=input_Properties

プロパティ

表2-16は、このコマンドのプロパティを示しています。

表2-16 validate IDStoreのプロパティ

プロパティ

必須かどうか

IDSTORE_TYPE

IDSTORE_HOST

YES

IDSTORE_PORT

YES

IDSTORE_SSLPORT

YES

IDSTORE_SSL_ENABLED

YES

IDSTORE_SUPER_USER

YES

IDSTORE_READWRITEUSER

YES

IDSTORE_READONLYUSER

YES

IDSTORE_USER_BASE

YES

IDSTORE_GROUP_BASE

YES

IDSTORE_SEEDING

IDSTORE_POST_VALIDATION

IDSTORE_ADMIN_GROUP

YES

IDSTORE_ADMIN_GROUP_EXISTS

プロパティ・ファイルの例

このオプションのサンプル・プロパティ・ファイルは次のとおりです。

idstore.type: OID
idstore.host: acb21005.us.example.com
idstore.port: 3030
idstore.sslport: 4140
idstore.ssl.enabled: false
idstore.super.user: cn=weblogic_fa,cn=systemids,dc=example,dc=com
idstore.readwrite.username: cn=IDRWUser,cn=systemids,dc=example,dc=com
idstore.readonly.username: cn=IDROUser,cn=systemids,dc=example,dc=com
idstore.user.base: cn=Users,dc=example,dc=com
idstore.group.base: cn=Groups,dc=example,dc=com
idstore.seeding: true
idstore.post.validation: false
idstore.admin.group: cn=IDM Administrators,cn=Groups,dc=example,dc=com
idstore.admin.group.exists: true

2.4.9 validate PolicyStoreコマンド

構文

./idmConfigTool.sh -validate component=POLICYSTORE input_file=input_Properties

プロパティ

表2-17は、このコマンドのプロパティを示しています。

表2-17 validate policystoreのプロパティ

プロパティ

必須かどうか

POLICYSTORE_HOST

YES

POLICYSTORE_PORT

YES

POLICYSTORE_SECURE_PORT

YES

POLICYSTORE_IS_SSL_ENABLED

POLICYSTORE_READ_WRITE_USERNAME

POLICYSTORE_SEEDING

POLICYSTORE_JPS_ROOT_NODE

POLICYSTORE_DOMAIN_NAME

YES

POLICYSTORE_CREATED_BY_CUSTOMER

POLICYSTORE_JPS_CONFIG_DIR

POLICYSTORE_CRED_MAPPING_FILE_LOCATION

POLICYSTORE_ADF_CRED_FILE_LOCATION

POLICYSTORE_STRIPE_FSCM

POLICYSTORE_STRIPE_CRM

POLICYSTORE_STRIPE_HCM

POLICYSTORE_STRIPE_SOA_INFRA

POLICYSTORE_STRIPE_APM

POLICYSTORE_STRIPE_ESSAPP

POLICYSTORE_STRIPE_B2BUI

POLICYSTORE_STRIPE_OBI

POLICYSTORE_STRIPE_WEBCENTER

POLICYSTORE_STRIPE_IDCCS

POLICYSTORE_CRED_STORE

IDM_KEYSTORE_FILE

プロパティ・ファイルの例

このオプションのサンプル・プロパティ・ファイルは次のとおりです。

POLICYSTORE_HOST: node0316.example.com
POLICYSTORE_PORT: 3067
POLICYSTORE_SECURE_PORT : 3110
POLICYSTORE_IS_SSL_ENABLED: FALSE
POLICYSTORE_READ_WRITE_USERNAME : cn=PolicyRWUser,cn=systemids,dc=example,dc=com
POLICYSTORE_SEEDING: true
POLICYSTORE_JPS_ROOT_NODE : cn=jpsroot
POLICYSTORE_DOMAIN_NAME: dc=example,dc=com

2.4.10 validate OAMコマンド(11g)

構文

./idmConfigTool.sh -validate component=OAM11g input_file=input_Properties

注意:

このツールでは、実行時にWebLogic管理サーバー・ユーザー・パスワードの入力が要求されます。

プロパティ

表2-18は、このコマンドのプロパティを示しています。

表2-18 validate component=OAM11gのプロパティ

プロパティ

必須かどうか

ADMIN_SERVER_HOST

YES

ADMIN_SERVER_PORT

YES

ADMIN_SERVER_USER

YES

IDSTORE_HOST

YES

IDSTORE_PORT

YES

IDSTORE_IS_SSL_ENABLED

OAM11G_ACCESS_SERVER_HOST

YES

OAM11G_ACCESS_SERVER_PORT

YES

OAM11G_IDSTORE_ROLE_SECURITY_ADMIN

OAM11G_OIM_INTEGRATION_REQ

OAM11G_OAM_ADMIN_USER

OAM11G_SSO_ONLY_FLAG

プロパティ・ファイルの例

このオプションのサンプル・プロパティ・ファイルは次のとおりです。これによってAccess Managerサーバーが検証されます。

admin_server_host: abc5411405.ca.example.com
admin_server_port: 17001
admin_server_user: weblogic
IDSTORE_HOST:abc5411405.ca.example.com
IDSTORE_PORT:3060
IDSTORE_IS_SSL_ENABLED:false
OAM11G_ACCESS_SERVER_HOST:abc5411405.ca.example.com
OAM11G_ACCESS_SERVER_PORT:5575
OAM11G_IDSTORE_ROLE_SECURITY_ADMIN:OAMAdministrators
OAM11G_OIM_OHS_URL: http://abc5411405.ca.example.com:7779/
OAM11G_OIM_INTEGRATION_REQ: true
OAM11G_OAM_ADMIN_USER:oamadminuser
OAM11G_SSO_ONLY_FLAG: true
OAM11G_OAM_ADMIN_USER_PASSWD:

2.4.11 validate OAMコマンド(10g)

構文

./idmConfigTool.sh -validate component=OAM10g input_file=input_Properties

プロパティ

表2-19は、このコマンドのプロパティを示しています。

表2-19 validate component=OAM10gのプロパティ

プロパティ

必須かどうか

OAM10g_MODE

OAM10g_NOPROMPT

OAM10g_POLICY_HOST

OAM10g_POLICY_PORT

OAM10g_POLICY_USERDN

OAM10g_POLICY_USERPWD

OAM10g_AAA_MODE

OAM10g_AAA_PASSPHRASE

OAM10g_PRIMARY_SERVERS

OAM10g_SECONDARY_SERVERS

OAM10g_RUNTIME_USER

2.4.12 validate OIMコマンド

構文

./idmConfigTool.sh -validate component=OIM11g input_file=input_Properties

注意:

このツールでは、実行時にWebLogic管理サーバー・ユーザー・パスワードの入力が要求されます。

プロパティ

表2-20は、このコマンドのプロパティを示しています。

表2-20 validate component=OIM11gのプロパティ

プロパティ

必須かどうか

ADMIN_SERVER_HOST

YES

ADMIN_SERVER_PORT

YES

ADMIN_SERVER_USER

YES

OAM_HOST

OAM_NAP_PORT

IDSTORE_USERSEARCHBASE

YES

IDSTORE_GROUPSEARCHBASE

YES

OIM_IS_SSL_ENABLED

OIM_HOST

YES

OIM_PORT

YES

プロパティ・ファイルの例

このオプションのサンプル・プロパティ・ファイルは次のとおりです。

admin_server_host: node06.example.com
admin_server_port: 17111
admin_server_user: weblogic
oam_host : node06.example.com
oam_nap_port : 5575
idm.keystore.file: idm.keystore.file
idstore.user.base: cn=Users,dc=example,dc=com
idstore.group.base: cn=Groups,dc=example,dc=com
oim_is_ssl_enabled: false
OIM_HOST: node06.example.com
OIM_PORT: 1400

2.4.13 configOVDコマンド

構文

./idmConfigTool.sh -configOVD input_file=input_Properties

プロパティ

表2-21は、このコマンドのプロパティを示しています(ここではn=1,2..です)。

表2-21 configOVDプロパティ

プロパティ

必須かどうか

OVD_HOST

YES

OVD_PORT

YES

OVD_BINDDN

YES

OVD_SSL

LDAPn_TYPE

LDAPn_HOST

YES

LDAPn_PORT

YES

LDAPn_BINDDN

YES

LDAPn_SSL

LDAPn_BASE

YES

LDAPn_OVD_BASE

YES

USECASE_TYPE

YES

プロパティ・プロパティの例

configOVDコマンドのプロパティ・ファイルの内容は、Oracle Virtual Directoryの構成によって異なります。この項では、いくつかのサンプル・ファイルを示します。

次のものは、単一サーバー構成用のsingle.txtという名前のファイルの例です。

ovd.host:myhost.us.example.com
ovd.port:7000
ovd.binddn:cn=orcladmin
ovd.ssl:true
ldap1.type:OID
ldap1.host:myhost.us.example.com
ldap1.port:7000
ldap1.binddn:cn=oimadmin,cn=systemids,dc=example,dc=com
ldap1.ssl:false
ldap1.base:dc=example,dc=com
ldap1.ovd.base:dc=example,dc=com
usecase.type: single

このファイルを使用する場合、コマンドは次のように呼び出されます。

idmConfigTool -configOVD input_file=path/single.txt

Enter OVD password: password
Enter LDAP password: password

次のものは、分割プロファイル・サーバー構成用のsplit.txtという名前のファイルの例です。

ovd.host:myhost.us.example.com
ovd.port:7000
ovd.binddn:cn=orcladmin
ovd.ssl:true
ldap1.type:AD
ldap1.host:10.0.0.0
ldap1.port:7000
ldap1.binddn:administrator@idmqa.com
ldap1.ssl:true
ldap1.base:dc=idmqa,dc=com
ldap1.ovd.base:dc=idmqa,dc=com
usecase.type: split
ldap2.type:OID
ldap2.host:myhost.us.example.com
ldap2.port:7000
ldap2.binddn:cn=oimadmin,cn=systemids,dc=example,dc=com
ldap2.ssl:false
ldap2.base:dc=example,dc=com
ldap2.ovd.base:dc=example,dc=com

このファイルを使用する場合、コマンドは次のように呼び出されます。

idmConfigTool -configOVD input_file=path/split.txt

Enter OVD password: password
Enter LDAP1 password: password
Enter LDAP2 password: password

2.4.14 ovdConfigUpgradeコマンド

構文

./idmConfigTool.sh -ovdConfigUpgrade input_file=input_Properties

プロパティ

表2-22は、このコマンドのプロパティを示しています。

表2-22 ovdConfigUpgradeプロパティ

プロパティ

必須かどうか

OVD_HOST

OVD_PORT

OVD_BINDDN

OVD_SSL

LDAPn_BINDDN

LDAPn_SSL

プロパティ・ファイルの例

このオプションのサンプル・プロパティ・ファイルは次のとおりです。これによって既存のアダプタがアップグレードされます。

ovd.host:abk005sjc.us.myhost.com
ovd.port:8801
ovd.binddn:cn=orcladmin
ovd.ssl:true

2.4.15 disableOVDAccessConfigコマンド

構文

./idmConfigTool.sh -disableOVDAccessConfig input_file=input_Properties

プロパティ

表2-23は、このコマンドのプロパティを示しています。

表2-23 disableOVDAccessConfigプロパティ

プロパティ

必須かどうか

OVD_HOST

OVD_PORT

OVD_BINDDN

OVD_SSL

LDAPn_BINDDN

LDAPn_SSL

プロパティ・ファイルの例

このオプションのサンプル・プロパティ・ファイルは次のとおりです。これによってOracle Virtual Directoryにおける匿名アクセスが無効化されます。

ovd.host:abc00def.ca.example.com
ovd.port:8501
ovd.binddn:cn=orcladmin
ovd.ssl:true

2.4.16 upgradeOIMTo11gWebgate

構文

./idmConfigTool.sh -upgradeOIMTo11gWebgate input_file=input_Properties

プロパティ

このコマンドは、configOIMコマンドに必要なものと同じプロパティを使用するため、どちらにも同じプロパティ・ファイルを使用できます。表2-14を参照してください。

表に示すように、Oracle Identity ManagerとAccess Managerが別々のWebLogicドメインに構成されている場合は、特定のプロパティが必要です。

2.5 HA環境におけるOUDアイデンティティ・ストアに対するその他のタスク

この項では、高可用性環境で、ターゲットのOracle Unified Directory (OUD)アイデンティティ・ストアに対してidmConfigToolを使用する際に実行する必要のある、その他のタスクについて説明します。内容は次のとおりです。

- Oracle Unified Directory向けのグローバルACIの作成

- Oracle Unified Directoryのレプリカに対する索引の作成

2.5.1 Oracle Unified Directory向けのグローバルACIの作成

レプリカを含む高可用性(HA)環境で、OUDアイデンティティ・ストアに対してidmConfigToolを使用する場合は、プロパティ・ファイルで指定されたインスタンス内にのみ、グローバルACIおよび索引が作成されます。これらはレプリケートされません。レプリケーション・ドメインのその他すべてのOUDインスタンスについて、これらのグローバルACIおよび索引を手動で再作成(削除後、作成)する必要があります。

したがって、最初に変更ログへのアクセス権を付与してから、ACIを作成する必要があります。次の手順を行います。

1. OUDに接続するために使用するパスワードが含まれているmypasswordというファイルを作成します。

2. レプリケートされたOUDホストの1つの既存の変更ログを削除します。コマンド構文は次のとおりです。

ORACLE_INSTANCE/bin/dsconfig set-access-control-handler-prop \
--remove \
global-aci:"(target=\"ldap:///cn=changelog\")(targetattr=\"*\")(version 3.0;
acl \"External changelog access\"; deny (all) userdn=\"ldap:///anyone\";)"
--hostname OUD Host \
--port OUD Admin Port \
--trustAll ORACLE_INSTANCE/config/admin-truststore \
--bindDN cn=oudadmin \
--bindPasswordFile mypassword \
--no-prompt

次に例を示します。

ORACLE_INSTANCE/bin/dsconfig set-access-control-handler-prop \
--remove
global-aci:"(target=\"ldap:///cn=changelog\")(targetattr=\"*\")(version 3.0;
acl \"External changelog access\"; deny (all) userdn=\"ldap:///anyone\";)"
--hostname OUDHOST1.example.com \
--port 4444 \
--trustAll /u01/app/oracle/admin/oud1/OUD/config/admin-truststore \
--bindDN cn=oudadmin \
--bindPasswordFile mypassword \
--no-prompt

3. 次のようにして新しいACIを追加します。

dsconfig set-access-control-handler-prop \
--add global-aci:"(target=\"ldap:///cn=changelog\")(targetattr=\"*\")(version
3.0; acl \"External changelog access\"; allow
(read,search,compare,add,write,delete,export)
groupdn=\"ldap:///cn=oimAdminGroup,cn=groups,dc=example,dc=com\";)" \
--hostname OUD Host \
--port OUD Admin Port \
--trustAll \
--bindDN cn=oudadmin \
--bindPasswordFile password
--no-prompt

次に例を示します。

dsconfig set-access-control-handler-prop \
--add
--add global-aci:"(target=\"ldap:///cn=changelog\")(targetattr=\"*\")(version
3.0; acl \"External changelog access\"; allow
(read,search,compare,add,write,delete,export)
groupdn=\"ldap:///cn=oimAdminGroup,cn=groups,dc=example,dc=com\";)" \
--hostname OUDHOST1 \
--port 4444 \
--trustAll \
--bindDN cn=oudadmin \
--bindPasswordFile password
--no-prompt

4. 各OUDインスタンスに対して手順1から3までを繰り返します。

2.5.2 Oracle Unified Directoryのレプリカに対する索引の作成

idmConfigToolによってアイデンティティ・ストアが準備される際に、そのデータに対していくつかの索引が作成されます。レプリカを含む高可用性(HA)環境でも、プロパティ・ファイルで指定されたインスタンス内にのみ、グローバルACIおよび索引が作成されます。レプリカには索引の変更が反映されないため、手動で追加する必要があります。

その手順は次のとおりです(LDAPHOST1.example.comは最初のOUDサーバーを表し、LDAPHOST2.example.comは2番目のサーバーを表すというようになっています)。

1. OUDに接続するために使用するパスワードが含まれているmypasswordというファイルを作成します。

2. 2番目のOUDサーバーで次のように索引を構成します。

ORACLE_INSTANCE/OUD/bin/ldapmodify -h LDAPHOST2.example.com -Z -X -p 4444
-a -D "cn=oudadmin" -j mypassword -c -f
/u01/app/oracle/product/fmw/iam/oam/server/oim-intg/ldif/ojd/schema/ojd_user_index_generic.ldif

および

ORACLE_INSTANCE/OUD/bin/ldapmodify -h LDAPHOST2.example.com -Z -X -p 4444
-a -D "cn=oudadmin" -j  mypassword -c -f
/u01/app/oracle/product/fmw/iam/idmtools/templates/oud/oud_indexes_extn.ldif

注意:

- 両方のコマンドを、idmConfigToolが実行されなかったすべてのOUDサーバーに対して繰り返します。

- これらのコマンドは一度に1つのOUDインスタンスに実行してください。これらのコマンドの実行中はそのインスタンスを停止しないでください。

3. 次のように、すべてのサーバーに対して作成を再構築します。

ORACLE_INSTANCE/OUD/bin/bin/rebuild-index -h localhost -p 4444 -X -D
"cn=oudadmin" -j mypassword --rebuildAll -b "dc=example,dc=com"

注意:

idmConfigToolが実行された最初のサーバー(LDAPHOST1.example.com)を含めてすべてのOUDサーバーに対してこのコマンドを実行する必要があります。

第II部

中心的な統合

この部では、特定のIdMコンポーネント間の統合について説明します。

この部の内容は次のとおりです。

- 第3章「Oracle Identity ManagerにおけるLDAP同期の有効化」

- 第4章「Oracle Identity Managerと統合するためのOracle Virtual Directoryの構成」

- 第5章「Oracle Internet DirectoryとAccess Managerの統合」

- 第6章「Oracle Access Management Access Managerと統合するためのOracle Virtual Directoryの構成」

- 第7章「Access ManagerとOracle Identity Managerの統合」

- 第8章「Oracle Adaptive Access ManagerとAccess Managerの統合」

- 第9章「Access Manager、OAAMおよびOIMの統合」

3 Oracle Identity ManagerにおけるLDAP同期の有効化

この章では、インストール後にLDAPアイデンティティ・ストアとOracle Identity ManagerのLDAP同期を手動で構成する方法について説明します。ただし、この章で説明しているように、LDAP同期のインストール後の有効化の手順は、インストール時にOracle Identity Manager構成ウィザードによってLDAP同期がすでに有効化されている場合は不要です。

Oracle Identity Managerの以前のリリースでは、Oracle Identity Managerのインストール時にのみLDAP同期を有効化でき、インストール後はLDAP同期を有効化できません。Oracle Identity Manager 11g リリース1 (11.1.1.5.0)以降は、インストール後のLDAP同期の有効化がサポートされています。Oracle Identity Manager 11g リリース2 (11.1.2.1.0)でも、インストール後のLDAP同期の有効化がサポートされています。

関連項目:

LDAP同期の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のLDAPアイデンティティ・ストアとOracle Identity Managerの統合に関する項を参照してください。

インストール中にOracle identity ManagerとともにOracle Internet Directory (OID)、iplanet (ODSEE)、Active Directory (AD)またはOracle Unified Directory (OUD)を選択すると、Oracle Virtual Directory (OVD)の仮想化機能が活用されます。Oracle Identity Managerには、スタンドアロンOVDサーバーのかわりにIdentity Virtualization Library (libOVD)が含まれています。Oracle Identity Managerは、Identity Virtualization Library (libOVD)の有無にかかわらずデプロイできます。Oracle Identity ManagerにIdentity Virtualization Library (libOVD)を含めると、Oracle Identity Managerは独自のOVDインスタンスを実行することなく、この共通ライブラリを使用できます。Identity Virtualization Library (libOVD)がない場合、Oracle Identity ManagerはOVDインスタンスを個別に使用する必要があります。

注意:

共通ライブラリは、Oracle Identity Managerと同じJava仮想マシン(JVM)に配置されているIdentity Virtualization Library (libOVD)の定義です。それは、別のサーバーではなく、Oracle Identity Manager内のライブラリです。

Oracle Identity ManagerインストーラでLDAP同期を選択するときに、AD、iPlanet (ODSEE)、OID、OVDおよびOUDオプションのいずれかを選択できます。AD、iPlanet (ODSEE)、OIDまたはOUDを選択すると、Oracle Identity ManagerはIdentity Virtualization Library (libOVD)とともにインストールされます。OVDを選択すると、LDAP同期が有効化されるため、LDAP同期を有効化するための手動の構成手順が不要になります。ただし、Oracle Identity Managerのインストール時にLDAP同期が有効化されていない場合は、LDAP同期を有効化するためのインストール後の手動構成が必要です。

この章では、インストール後にLDAP同期を有効にするための次の構成について説明します。

- インストール後のLDAP同期の有効化

- 様々なカスタム・オブジェクト・クラスを使用したOracle Identity Managerを介したユーザー作成のカスタマイズ

- Identity Virtualization Library (libOVD)アダプタの作成およびOracle Identity Managerとの統合

- Identity Virtualization Library (libOVD)とディレクトリ・サーバーの間でのSSLの有効化

さらに、この章には次の項が含まれます。

- LDAP同期を有効化する前に作成したユーザーおよびロールのLDAPへのプロビジョニング

- LDAP同期の無効化

- OVDアダプタの作成

- Identity Virtualization Library (libOVD)アダプタの管理

- Identity Virtualization Library (libOVD)に対するアクセス・ログの有効化

- LDAP同期が有効な場合のLDAP認証の構成

3.1 インストール後のLDAP同期の有効化

Oracle Identity Managerをデプロイした後でLDAP同期を有効化するには、次の手順を実行します。

注意:

Oracle Identity Manager 11g リリース2 (11.1.2.1.0)では、idmConfigToolユーティリティを実行してLDAP同期を事前構成する必要があります。LDAPConfigPreSetupスクリプトを実行してLDAP同期を事前構成すると、エラーが生成されます。idmConfigToolユーティリティの使用方法の詳細は、「idmConfigToolコマンドの使用方法」を参照してください。

idmConfigToolは、エンタープライズ・デプロイメント環境で実行されます。詳細は、『Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド』を参照してください。これは、LDAP同期の前提条件をセットアップするもう1つの方法です。

スタンドアロンOracle Identity ManagerデプロイメントにおけるLDAP同期の前提条件のセットアップ手順は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』を参照してください。

idmConfigToolを使用して前提条件をセットアップしていない場合、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のLDAP同期を有効化するための前提条件の完了に関する項に従って、データベース・スキーマを拡張し、他の手順を実行する必要があります。

1. OIM_HOME環境変数に、Oracle Identity Managerがデプロイされているディレクトリを設定します。

2. 次のファイルを、MDSから一時ステージング・ディレクトリ(/tmpなど)にコピーします。

注意:

別個のステージング・ディレクトリを作成する必要があります。$OIM_ORACLE_HOME/server/metadataディレクトリには他のファイルが含まれているため、ステージング・ディレクトリとして使用することはできません。これらのファイルを誤ってインポートすると、Oracle Identity Managerインスタンスが破損することがあります。

- LDAPユーザー、ロール、ロール階層およびロール・メンバーシップ・リコンシリエーションのための、リコンシリエーション・プロファイルおよびリコンシリエーション水平表エンティティ定義の構成に、次のメタデータが使用されます。
/db/LDAPUser

/db/LDAPRole

/db/LDAPRoleHierarchy

/db/LDAPRoleMembership

/db/RA_LDAPROLE.xml

/db/RA_LDAPROLEHIERARCHY.xml

/db/RA_LDAPROLEMEMBERSHIP.xml

/db/RA_LDAPUSER.xml

/db/RA_MLS_LDAPROLE.xml

/db/RA_MLS_LDAPUSER.xml

これらのファイルは、インポート前に一時的な場所にコピーする必要があります。このようにしないと、同じ場所にoim-config.xmlも存在することになるため、インスタンスが破損することがあります。

- LDAPイベント・ハンドラ。事前定義済イベント・ハンドラは、/db/ldapMetadata/EventHandlers.xmlファイル内にあります。

- 作成するユーザーおよびロールのコンテナ情報で構成されるLDAPContainerRules.xml。

注意:

ディレクトリにマップされているこれらの属性のみを使用して、LdapContainerRules.xmlファイルにルールを含めることができます。外部オブジェクトからの属性またはエンティティの一部ではない属性を使用して、ルールを記述することはできません。これはユーザー・エンティティとロール・エンティティの両方に当てはまります。たとえば、「ロールの電子メール」はロールのルールには使用できず、ユーザーの「組織名」はユーザー・エンティティに使用できません。

3. LDAPContainerRules.xmlを編集します。これを行うには、LDAPContainerRules.xmlを開き、$DefaultUserContainer$と$DefaultRoleContainer$を適切なユーザー・コンテナ値とロール・コンテナ値で置換します。たとえば、次のように置換します。

- $DefaultUserContainer$をcn=ADRUsers,cn=Users,dc=us,dc=oracle,dc=comなどの値で置換

- $DefaultRoleContainer$をcn=ADRGroups,cn=Groups,dc=us,dc=oracle,dc=comなどの値で置換

4. Oracle Enterprise Managerを使用することでインポートを実行します。MDSからのメタデータ・ファイルのインポートの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のユーザーが修正可能なメタデータ・ファイルの移行に関する項を参照してください。

注意:

MDSにインポートするときに、EventHandlers.xmlが/db/ldapMetadata/ディレクトリに存在することを確認してください。

5. Oracle Identity ManagerでITリソース構成を編集します。これを行うには、次のようにします。

1. Oracle Identity System Administrationにシステム管理者としてログインします。

2. 左のナビゲーション・ペインで、構成の下の「ITリソース」をクリックします。「ITリソースの管理」ページが表示されます。

3. Directory Server ITリソースを探します。

4. このITリソースを「検索ベース」および予約コンテナの値で更新します。
「検索ベース」の推奨値は、ルート接尾辞またはベースDN (dc=us,dc=oracle,dc=comなど)です。

5. OVDサーバーでOracle Identity Managerを構成する場合は、「サーバーURL」にOVDサーバーのホストおよびポートの詳細を入力します。
Identity Virtualization Library (libOVD)でOracle Identity Managerを構成する場合は、「サーバーURL」に値を入力しないでください。空白にする必要があります。

6. バインド資格証明の値を次のように入力します。
管理ログイン: cn=oimadmin

管理パスワード: 1111111111

注意:

Oracle Identity Managerプロキシ・ユーザーDNは、次の形式です。

PROXY_USER,cn=system,ROOT_SUFFIX

例: cn=oimadmin,cn=system, dc=us,dc=oracle,dc=com

7. 予約コンテナの値が、cn=reserve,VALUE_OF_THE_ROOT_SUFFIXであることを確認します。次に例を示します。
予約コンテナ: cn=reserve,dc=us,dc=oracle,dc=com

6. リコンシリエーション・ジョブでは、LDAPリコンシリエーションのスケジュール済ジョブをOracle Identity Managerスキーマの一部であるクォーツ表にシードします。前提条件で行ったように、OIM_ORACLE_HOME環境変数を設定します。次に例を示します。
Microsoft Windowsでは、次のコマンドを実行してOIM_ORACLE_HOME環境変数を、C:\Oracle\Middleware\Oracle_IDM1ディレクトリに設定します。

set OIM_ORACLE_HOME=C:\Oracle\Middleware\Oracle_IDM

UNIXでは、次のコマンドを実行します。

setenv OIM_ORACLE_HOME /u01/mwhome/Oracle_IDM

LDAPリコンシリエーションのスケジュール済ジョブのシードは、次のいずれかの方法で実行できます。

次のパラメータを使用した、LDAPリコンシリエーションのスケジュール済ジョブのシード

1. $OIM_ORACLE_HOME/server/setup/deploy-filesディレクトリに移動します。

2. antホームを設定します。次にantホーム設定のためのコマンドの例を示します。
UNIXの場合:

setenv ANT_HOME /u01/mwhome/modules/org.apache.ant_1.7.1

Microsoft Windowsの場合:

set ANT_HOME=/u01/mwhome/modules/org.apache.ant_1.7.1

注意:

ANTがインストールされていない場合は、次のURLに移動してOracle Technology Network (OTN)のWebサイトからANTをダウンロードします。

http://www.oracle.com/technetwork/index.html

ANTをインストールして、ANT_HOMEを設定します。$ANT_HOME/bin/ant/ディレクトリに、実行可能なファイルが存在することを確認してください。

3. 次のパラメータを使用して、antコマンドを実行します。

$ANT_HOME/bin/ant -f setup.xml seed-ldap-recon-jobs -DoperationsDB.driver=oracle.jdbc.OracleDriver -DoperationsDB.user=SCHEMA_OWNER_USERNAME -DOIM.DBPassword=SCHEMA_OWNER_PASSWORD -DoperationsDB.host=SCHEMA_HOST_ADDRESS -DoperationsDB.port=SCHEMA_PORT_NUMBER -DoperationsDB.serviceName=SCHEMA_SERVICE_NAME -Dssi.provisioning=ON -Dweblogic.server.dir=WEBLOGIC_SERVER_LOCATION -Dojdbc.location=OJDBC_LOCATION -Dwork.dir=seed_logs

次に例を示します。

$ANT_HOME/bin/ant -f setup.xml seed-ldap-recon-jobs -DoperationsDB.driver=oracle.jdbc.OracleDriver  -DoperationsDB.user=schemaowner1_OIM -DOIM.DBPassword=SCHEMA_OWNER_PASSWORD -DoperationsDB.host=myhost.mycompany.com -DoperationsDB.port=1234 -DoperationsDB.serviceName=oimdb.regress.rdbms.mycompany.com -Dssi.provisioning=ON -Dweblogic.server.dir=MW_HOME/wlserver_10.3 -Dojdbc.location=MW_HOME/oracle_common/inventory/Scripts/ext/jlib/ojdbc6.jar -Dwork.dir=seed_logs

次のプロファイル・ファイルを使用した、LDAPリコンシリエーションのスケジュール済ジョブのシード

1. 次の環境変数を設定します。

- OIM_ORACLE_HOMEをOIM_HOMEディレクトリに設定します。

- ANT_HOMEをANTがインストールされているディレクトリに設定します。

注意:

ANTがインストールされていない場合は、次のURLに移動してOracle Technology Network (OTN)のWebサイトからANTをダウンロードします。

http://www.oracle.com/technetwork/index.html

ANTをインストールして、ANT_HOMEを設定します。$ANT_HOME/bin/ant/ディレクトリに、実行可能なファイルが存在することを確認してください。

2. $OIM_ORACLE_HOME/server/bin/ディレクトリに移動します。

3. 表3-1に示すプロパティを使用して、プロパティ・ファイルを作成します。

注意:

新しいプロパティ・ファイルを作成せずに、appserver.profileファイルを使用することもできます。この手順で示されたプロパティが、値を持って存在するようにしてください。

表3-1 プロパティ・ファイルのパラメータ

パラメータ

説明

operationsDB.user

Oracle Identity Managerデータベース・スキーマの所有者。

operationsDB.driver

oracle.jdbc.OracleDriverの定数の値。

operationsDB.host

Oracle Identity Managerデータベース・スキーマのホスト・アドレス。

OIM.DBPassword

Oracle Identity Managerデータベース・スキーマの所有者のパスワード。

operationsDB.serviceName

Oracle Identity Managerデータベース・スキーマのサービス名。たとえば、oimdb.regress.rdbms.mycompany.com

operationsDB.port

Oracle Identity Managerデータベース・スキーマのポート番号。

ssi.provisioning

値はONにする必要があります。

weblogic.server.dir

Oracle WebLogic Serverのインストール先のディレクトリ。たとえば、MW_HOME/wlserver_10.3

ojdbc.location

JDBCのインストール先のディレクトリ。たとえば、MW_HOME/oracle_common/inventory/Scripts/ext/jlib/ojdbc6.jar

work.dir

ログ・ファイルの作成先の任意のディレクトリ。

ターゲットの正常終了後は、$WORK_DIR/seed_logs/ldap/SeedSchedulerData.logファイルでログを確認できます。

4. $OIM_ORACLE_HOME/server/setup/deploy-filesディレクトリに移動します。

5. 次のコマンドを実行します。

$ANT_HOME/bin/ant -f setup.xml seed-ldap-recon-jobs -propertyfile $OIM_ORACLE_HOME/server/bin/PROPERTY_FILE_NAME

3.2 様々なカスタム・オブジェクト・クラスを使用したOracle Identity Managerを介したユーザー作成のカスタマイズ

新しいユーザーを作成する際に、カスタム属性をOracle Identity Managerのユーザー定義フィールド(UDF)として追加することで、またはMDSのLDAPUser.xmlに追加することで、カスタム・オブジェクト・クラスおよびカスタム属性を追加できます。前提条件として、1つ以上の属性を持つカスタム・オブジェクト・クラスを作成し、OIDにロードする必要があります。

カスタム属性をOracle Identity ManagerのUDFまたはMDSのLDAPUser.xmlとして追加する手順は、次のとおりです。

1. 『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のカスタム属性の作成に関する項に従って、Oracle Identity Managerのユーザー属性にカスタム属性を追加します。

2. 『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のユーザーが修正可能なメタデータ・ファイルの移行に関する項に従って、リポジトリから/metadata/iam-features-ldap-sync/LDAPUser.xmlメタデータ・ファイルをエクスポートします。

3. LDAPUser.xmlファイルを更新し、custom attribute1カスタム属性およびcustomObjectClassカスタム・オブジェクト・クラスを追加します。

4. createでさらにオブジェクト・クラスを追加するには、LDAPUser.xmlを編集し、さらに<value>エントリを<parameter name="objectclass">ノードに追加します。次に例を示します。

<parameter name="objectclass">
<value>orclIDXPerson</value>
<value>customObjectClass</value>
</parameter>

5. カスタム属性をLDAPUser.xmlファイルの3つのセクションに追加します。これを行うには、次のようにします。

1. その属性エントリを<entity-attributes>タグの終わりに追加します。次に例を示します。

<entity-attributes>
...................
...................
<attribute name="custom attribute1">
<type>string</type>
<required>false</required>
<attribute-group>Basic</attribute-group>
<searchable>true</searchable>
</attribute>
</entity-attributes>

2. その属性エントリを<target-fields>タグの終わりに追加します。次に例を示します。

<target-fields>
...................
...................
<field name="customattr1">
<type>string</type>
<required>false</required>
</field>
</target-fields>

3. その属性エントリを<attribute-maps>タグの終わりに追加します。次に例を示します。

<attribute-maps>
...................
...................
<attribute-map>
<entity-attribute>custom attribute1</entity-attribute>
<target-field>customattr1</target-field>
</attribute-map>
</attribute-maps>

4. LDAPUser.xmlファイルを保存して閉じます。

6. 『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のユーザーが修正可能なメタデータ・ファイルの移行に関する項に従って、リポジトリに/metadata/iam-features-ldap-sync/LDAPUser.xmlメタデータ・ファイルをインポートします。

7. (オプション)cnのRDN属性を変更する場合は、<parameter name="rdnattribute">タグを新しいディレクトリ属性名に更新し、/metadata/iam-features-ldap-sync/LDAPUser.xmlメタデータ・ファイルをリポジトリに再インポートします。次に例を示します。

<parameter name="rdnattribute">
<value>companyid</value>
</parameter>

8. Oracle Identity Managerを介して新しいユーザーを作成することで構成をテストします。

3.3 Identity Virtualization Library (libOVD)アダプタの作成およびOracle Identity Managerとの統合

libOVDに関連するスクリプトまたはテンプレート・ファイルを使用することでIdentity Virtualization Library (libOVD)アダプタを構成できます。表3-2は、Identity Virtualization Library (libOVD)アダプタの構成に使用するファイルを示しています。

表3-2 Identity Virtualization Library (libOVD)アダプタの構成ファイル

ファイル

説明

$MIDDLEWARE_HOME/oracle_common/modules/oracle.ovd_11.1.1/ディレクトリ内のファイル

Identity Virtualization Library (libOVD)に関連するファイル

$MIDDLEWARE_HOME/oracle_common/bin/ディレクトリ内のファイル:

libovdadapterconfig.sh

libovdconfig.sh

libovdadapterconfig.bat

libovdconfig.bat

Identity Virtualization Library (libOVD)を構成するためのスクリプト・ファイル

$MIDDLEWARE_HOME/Oracle_IDM/libovd/ディレクトリのファイル:

adapter_template_oim_ldap.xml

adapter_template_oim.xml

Identity Virtualization Library (libOVD)を構成するための一時ファイル

$MIDDLEWARE_HOME/user_projects/domains/DOMAIN_NAME/config/fmwconfig/ovd/ADAPTER_NAME/ディレクトリのファイル:

adapters.os_xml

デフォルトでは、ADAPTER_NAMEの値はoimです。

Identity Virtualization Library (libOVD)を構成した後の構成ファイル

Identity Virtualization Library (libOVD)アダプタを構成し、Oracle Identity Managerと統合する手順は、次のとおりです。

1. スクリプトを実行してIdentity Virtualization Library (libOVD)を構成する前に、次の環境変数を設定します。

- MIDDLEWARE_HOMEを適切なミドルウェア・ホーム・ディレクトリに設定

- ORACLE_HOMEを$MIDDLEWARE_HOME/oracle_commonに設定

- WL_HOMEを$MIDDLEWARE_HOME/wlserver_10.3に設定

- JAVA_HOMEを適切なjdk6 path ../jdk6に設定

2. Identity Virtualization Library (libOVD)を構成する手順は、次のとおりです。

注意:

コマンド内のホスト・コンピュータおよびディレクトリ・パスの該当する情報を置換し、Identity Virtualization Library (libOVD)を構成するためのスクリプトを実行します。

1. libOVD構成ファイルを作成し、ディレクトリ構造をレイアウトするには、次のコマンドを実行します。

sh $MW_HOME/oracle_common/bin/libovdconfig.sh -domainPath FULL_PATH_OF_DOMAIN -contextName oim -host ADMINSERVER_HOST -port ADMINSERVER_PORT -userName ADMINSERVER_USERNAME

次に例を示します。

sh $MW_HOME/oracle_common/bin/libovdconfig.sh -domainPath $MIDDLEWARE_HOME/user_projects/domains/base_domain -contextName oim -host myhost.mycompany.com -port 7001 -userName weblogic

このコマンドによって、Oracle Identity ManagerにOVD構成ファイルを含むディレクトリ構造が作成され、構成ファイル・テンプレートがコピーされます。この例では、contextNameはoimと想定されます。したがって、OVD構成ファイルはDOMAIN_HOME/config/fmwconfig/ovd/oim/ディレクトリに作成されます。ここで、DOMAIN_HOMEは、自身のドメインのホーム・ディレクトリとして使用しているディレクトリです。

注意:

Identity Virtualization Library (libOVD)はOracle Identity Managerに組み込まれているため、どちらも同じWebコンテナにデプロイされます。したがって、管理サーバー・ホストと管理サーバー・ポートは、OIDがインストールされているコンピュータではなくOracle Identity Managerがインストールされているものと同じコンピュータのものであることが必要です。

コマンドを実行すると、次のものが表示されます。必要な場合にはパスワードを入力します。

Enter AdminServer Password:
Successfully created OVD config files
CSF Credential creation successful
Permission Grant successful
Successfully configured OVD MBeans

2. ユーザー・アダプタおよび変更ログ・アダプタを作成するには、次のコマンドを実行します。

sh $MW_HOME/oracle_common/bin/libovdadapterconfig.sh -domainPath FULL_PATH_OF_DOMAIN -contextName oim -host ADMINSERVER_HOST -port ADMINSERVER_PORT -userName ADMINSERVER_USERNAME -adapterName ADAPTER_NAME -adapterTemplate adapter_template_oim.xml -bindDN LDAP_BIND_DN -createChangelogAdapter -dataStore LDAP_DIRECTORY_TYPE -ldapHost LDAP_HOST -ldapPort LDAP_PORT -remoteBase REMOTE_BASE -root VIRTUAL_BASE

ここで、テンプレートはoimテンプレートです。これにより、このスクリプトを実行したときに、Oracle Identity Managerテンプレートに基づいて、指定した情報を使用してアダプタが作成されます。この手順で示すコマンドの例では、contextNameはoimであると想定しています。

注意:

- Identity Virtualization Library (libOVD)はOracle Identity Managerに組み込まれているため、どちらも同じWebコンテナにデプロイされます。したがって、管理サーバー・ホストと管理サーバー・ポートは、OIDがインストールされているコンピュータではなくOracle Identity Managerがインストールされているものと同じコンピュータのものであることが必要です。

- このツールの実行中に渡すパラメータの-dataStore引数の値は、バックエンド・ディレクトリ・タイプであることが必要です。adapter_template_oim.xmlを使用している場合、このパラメータの有効な値は、OID、ACTIVE_DIRECTORY、IPLANETおよびOUDです。

バックエンドLDAPサーバー・ポートがSSLを使用するように構成されている場合、Oracle Identity Managerユーザーはkeytoolを使用して信頼できる証明書をLDAPサーバーからIdentity Virtualization Library (libOVD)キーストアにインポートする必要があります。これを行うには、「Identity Virtualization Library (libOVD)とディレクトリ・サーバーの間でのSSLの有効化」を参照してください。

非SSL LDAPサーバー・ポートを使用した例:

sh $MW_HOME/oracle_common/bin/libovdadapterconfig.sh -domainPath $MW_HOME/user_projects/domains/base_domain -contextName oim -host myadminserver.mycompany.com -port 7001 -userName weblogic -adapterName LDAP1 -adapterTemplate adapter_template_oim.xml -bindDN "cn=orcladmin" -createChangelogAdapter -dataStore OID -ldapHost myldaphost.mycompany.com -ldapPort 3060 -remoteBase "dc=us,dc=oracle,dc=com" -root "dc=us,dc=oracle,dc=com"

Enter AdminServer Password:

Enter LDAP Server Password:

SSLを使用するように構成されたLDAPサーバー・ポートを使用した例:

注意:

LDAPポートにSSLポートを使用する場合は、libovdadapterconfig.shまたはlibovdadapterconfig.batコマンドで-enableSSLパラメータを指定します。

sh $MW_HOME/oracle_common/bin/libovdadapterconfig.sh -domainPath $MW_HOME/user_projects/domains/base_domain -contextName oim -host myadminserver.mycompany.com -port 7001 -userName weblogic -adapterName LDAP1 -adapterTemplate adapter_template_oim.xml -bindDN "cn=orcladmin" -createChangelogAdapter -dataStore OID -ldapHost myldaphost.mycompany.com -ldapPort 3161 -enableSSL -remoteBase "dc=us,dc=oracle,dc=com" -root "dc=us,dc=oracle,dc=com"

Enter AdminServer Password:

Enter LDAP Server Password:

3. 次のコマンドを実行することで、WebコンテナおよびOracle Identity Managerを再起動します。

cd $MIDDLEWARE_HOME/user_projects/domains/DOMAIN_NAME/bin/

./stopManagedWebLogic.sh oim_server1

./stopWebLogic.sh

./startWebLogic.sh

./startManagedWebLogic.sh oim_server1

4. Oracle Identity ManagerをOracle Identity Virtualization (libOVD)に統合する手順は、次のとおりです。

1. Oracle Identity System Administrationにログインします。

2. 左のペインで、構成の下の「ITリソース」をクリックします。別のウィンドウに「ITリソースの管理」ページが表示されます。

3. 「ITリソース・タイプ」リストから「ディレクトリ・サーバー」を選択し、「検索」をクリックします。

4. ディレクトリ・サーバーITリソースについては、「編集」をクリックします。「ITリソースの詳細およびパラメータの編集」ページが表示されます。

5. 「検索ベース」フィールドに、たとえばdc=oracle,dc=comのように値を入力します。

6. 「ユーザー予約コンテナ」フィールドに、たとえば、cn=reserve,dc=us,dc=oracle,dc=comのように値を入力します。

7. Oracle Identity ManagerがデプロイされているWebLogicサーバーを再起動します。

8. サーバーにアクセスし、Oracle Identity System Administrationを介してユーザーおよびロールの管理を試みます。

9. -dataStoreオプションを使用して構成されたLDAPサーバーでデータが管理されていることを検証するには、ldapclientツールを直接使用してLDAPサーバーに接続します。

3.4 Identity Virtualization Library (libOVD)とディレクトリ・サーバーの間でのSSLの有効化

SSLのために、次の項の説明に従って、ディレクトリ・サーバーからサーバー側の証明書をエクスポートし、Identity Virtualization Library (libOVD)にインポートする必要があります。

- Identity Virtualization Library (libOVD)とMicrosoft Active Directoryの間でのSSLの有効化

- Identity Virtualization Library (libOVD)とiPlanetの間でのSSLの有効化

- Identity Virtualization Library (libOVD)とOIDの間でのSSLの有効化

3.4.1 Identity Virtualization Library (libOVD)とMicrosoft Active Directoryの間でのSSLの有効化

Active Directoryからサーバー側の証明書をエクスポートし、Identity Virtualization Library (libOVD)にインポートするには、次の手順を実行します。

1. 次のMicrosoft TechNet WebサイトURLの指示を参照して、Active Directoryサーバーから証明書をエクスポートします。
http://technet.microsoft.com/en-us/library/cc732443%28WS.10%29.aspx

http://technet.microsoft.com/en-us/library/cc772898%28WS.10%29.aspx

2. CA署名証明書を取得し、ファイルに保存します。これを行うには、次のようにします。

1. ドメイン管理者としてActive Directoryドメイン・サーバーにログインします。

2. 「スタート」、「コントロール パネル」、「管理ツール」、「証明機関」の順にクリックし、証明機関用のMicrosoft管理コンソール(MMC)を表示します。

3. CAコンピュータを右クリックし、CAのプロパティを選択します。

4. 「全般」メニューから、「証明書の表示」を選択します。

5. 「詳細」ビューを選択し、ウィンドウの右下隅にある「ファイルにコピー」をクリックします。

6. 次のコマンドを実行して、証明書のエクスポート・ウィザードを使用し、CA証明書をファイルに保存します。

certutil -ca.cert OutCACertFile

注意:

CA証明書は、DER Encoded Binary X-509形式またはBased-64 Encoded X-509形式で保存できます。

3. 次のコマンドを実行して、手順3fで作成したActive Directoryサーバー証明書を、Identity Virtualization Library (libOVD)キーストアに信頼できるエントリとしてインポートします。

$ORACLE_HOME/jdk/jre/bin/keytool -importcert -keystore $DOMAIN_HOME/config/fmwconfig/ovd/CONTEXT/keystores/adapters.jks -storepass password -alias alias -file OutCACertFile -noprompt

3.4.2 Identity Virtualization Library (libOVD)とiPlanetの間でのSSLの有効化

Identity Virtualization Library (libOVD)とiPlanet (ODSEE)の間でのSSLを有効化するために、iPlanet (ODSEE)から証明書をエクスポートしてIdentity Virtualization Library (libOVD)にインポートするには、次の手順を実行します。

1. iPlanet (ODSEE)から証明書をエクスポートするには、次のコマンドを実行します。

dsadm export-cert -o OUTPUT_FILE INSTANCE_PATH CERT_ALIAS

次に例を示します。

./dsadm export-cert -o /tmp/server-cert /scratch/aime1/iPlanet/dsInst/ defaultCert
Choose the PKCS#12 file password:
Confirm the PKCS#12 file password:

ls -lrt /tmp
-rw------- 1 aime1 svrtech 1684 Jan 20 00:39 server-cert

2. ステップ1で作成したiPlanet (ODSEE)証明書を、信頼できるエントリとしてIdentity Virtualization Library (libOVD)キーストアにインポートするには、次のコマンドを実行します。

ORACLE_HOME/jdk/jre/bin/keytool -importcert -keystore
$DOMAIN_HOME/config/fmwconfig/ovd/CONTEXT/keystores/adapters.jks -storepass PASSWORD -alias ALIAS_VALUE_USED_FOR_EXPORT -file SERVER-CERT_FILENAME -noprompt

注意:

証明書をインポートする際は、-aliasパラメータに対して、その証明書をエクスポートしたときに指定したものと同じ証明書の別名を指定します。次に例を示します。

ORACLE_HOME/jdk/jre/bin/keytool -importcert -keystore
$DOMAIN_HOME/config/fmwconfig/ovd/CONTEXT/keystores/adapters.jks -storepass password -alias defaultCert -file server-cert -noprompt

さらに、次のURLにあるODSEEドキュメントの説明に従って証明書をエクスポートおよびインポートします。

http://docs.oracle.com/cd/E19656-01/821-1504/gcvhu/index.html

3.4.3 Identity Virtualization Library (libOVD)とOIDの間でのSSLの有効化

OIDからサーバー側の証明書をエクスポートしてIdentity Virtualization Library (libOVD)にインポートするには、次の手順を実行します。

1. 次のコマンドを使用して、Oracle Internet Directoryサーバーの証明書をBase64形式でエクスポートします。

orapki wallet export -wallet LOCATION_OF_OID_WALLET -dn DN_FOR_OID_SERVER_CERTIFICATE -cert ./b64certificate.txt

注意:

orapkiコマンドで証明書別名を使用する場合、その別名がすべて小文字でないと、エラーが生成されます。

2. 次のコマンドを使用して、ステップ2で作成したOracle Internet Directoryサーバー証明書を、Identity Virtualization Library (libOVD)キーストアに信頼できるエントリとしてインポートします。

$ORACLE_HOME/jdk/jre/bin/keytool -importcert -keystore $DOMAIN_HOME/config/fmwconfig/ovd/CONTEXT/keystores/adapters.jks -storepass password -alias alias -file OutCACertFile -noprompt

3.5 LDAP同期を有効化する前に作成したユーザーおよびロールのLDAPへのプロビジョニング

LDAPを同期していないOracle Identity Managerデプロイメントでユーザーとロールを作成した後で、LDAP同期を有効化することを決めた場合、LDAP同期を有効化する前に作成したユーザーとロールを、同期の有効化後にLDAPと同期する必要があります。LDAPに対するユーザー、ロール、ロール・メンバーシップおよびロール階層のプロビジョニングは、LDAP用に事前定義された次のスケジュール済ジョブで達成できます。

- LDAPSync Post Enable Provision Users to LDAP

- LDAPSync Post Enable Provision Roles to LDAP

- LDAPSync Post Enable Provision Role Memberships to LDAP

- LDAPSync Post Enable Provision Role Hierarchy to LDAP

これらのスケジュール済ジョブの詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』の事前定義済のスケジュール済タスクに関する項を参照してください。

3.6 LDAP同期の無効化

Oracle Identity ManagerデプロイメントでLDAP同期を無効化するには、次の手順を実行します。

1. Oracle Enterprise Managerを使用してMDSから/db/ldapMetadata/EventHandlers.xmlファイルを削除します。MDSからのメタデータ・ファイルの削除の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のユーザーが修正可能なメタデータ・ファイルの移行に関する項を参照してください。

2. Oracle Identity System Administrationにシステム管理者としてログインします。

3. 「LDAP同期を有効化する前に作成したユーザーおよびロールのLDAPへのプロビジョニング」で説明しているスケジュール済ジョブすべてを無効化します。

3.7 OVDアダプタの作成

Oracle Identity Managerのインストール中にOID、ODSEEまたはADを選択する場合、そのときにLDAP同期が有効化されていると、Identity Virtualization Library (libOVD)アダプタがバックエンドで生成されます。

Oracle Identity Managerのインストール中にLDAP同期を有効化せず、Oracle Identity Managerのインストール後にLDAP同期を有効化する場合は、libOVDアダプタを作成し、構成する必要があります。詳細は、「Identity Virtualization Library (libOVD)アダプタの作成およびOracle Identity Managerとの統合」および「Identity Virtualization Library (libOVD)アダプタの管理」を参照してください。

OVDサーバーを構成してあり、Oracle Identity Managerをインストールした後にLDAP同期を有効化する場合は、ディレクトリ・サーバーITリソース・タイプの「ITリソース」ページをOVDサーバーの詳細で構成する必要があります。「インストール後のLDAP同期の有効化」の手順5を参照してください。

OVDサーバーがアダプタに対して構成されていない場合、様々なデフォルトLDAPサーバーに対してOVDアダプタを作成する必要があります。詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Virtual Directoryでのアダプタの作成に関する項を参照してください。

関連項目:

Oracle Identity Managerと統合するためのOVDの構成の詳細は、「Oracle Identity Managerと統合するためのOracle Virtual Directoryの構成」 を参照してください。

3.8 Identity Virtualization Library (libOVD)アダプタの管理

LDAP同期が有効でAD、iPlanet (ODSEE)またはOIDがディレクトリ・サーバーであるOracle Identity Managerデプロイメントでは、WLSTコマンドを使用してIdentity Virtualization Library (libOVD)アダプタを管理します。

関連項目:

Library Oracle Virtual Directory (LibOVD)アダプタを管理するためのWLSTコマンドの詳細は、Oracle Fusion Middleware WebLogic Scripting Toolコマンド・リファレンスのLibrary Oracle Virtual Directory (LibOVD)コマンドに関する項を参照してください。

Virtualization Library (libOVD)を管理するには、次の手順を実行します。

1. WLSTコンソールを起動します。これを行うには、$FMW_ROOT/Oracle_IDM1/common/bin/wlst.shを実行します。このパスは、$OIM_ORACLE_HOME/common/bin/wlst.shとして参照できます。
ここで、$FMW_ROOTは、自身の$MW_HOMEディレクトリを指しています。たとえば、このバイナリの場所の場合、/u01/apps/mwhome/ディレクトリを指すことができます。

$OIM_ORACLE_HOMEはOracle Identity Managerがデプロイされているディレクトリを指しています。たとえば、/u01/apps/mwhome/Oracle_IDM1/はOIM_ORACLE_HOMEを指している必要があります。

2. WLSTコマンドラインで、次のコマンドを実行します。

connect()

入力を求められたときに、WLSTのユーザー名、パスワードおよびt3 URLを入力します。

3. 次のコマンドを実行し、Identity Virtualization Library (libOVD)のWLSTコマンドのリストを表示します。

help('OracleLibOVDConfig')

これで、Identity Virtualization Library (libOVD)、LDAPおよび結合アダプタを作成、削除および変更するためのコマンドがリストされます。次のコマンドは、パラメータとして渡される特定のOPSSコンテキストと関連付けられているIdentity Virtualization Library (libOVD)構成で動作します。

- addJoinRule: 指定のOPSSコンテキストと関連付けられたIdentity Virtualization Library (libOVD)の既存の結合アダプタに、結合ルールを追加します。

- addLDAPHost: 既存のLDAPアダプタに、新しいホストを追加します。

注意:

High Availability (HA)シナリオ用に複数のリモート・ホストを追加する例を次に示します。

addLDAPHost(adapterName='ldap1', host='myhost.example.domain.com', port=389, contextName='myContext')

HAの詳細は、『Oracle Fusion Middleware高可用性ガイド』を参照してください。

- addPlugin: 既存のアダプタに、またはグローバル・レベルで、プラグインを追加します。

関連項目:

Oracle Identity Managerにおけるプラグインの開発の詳細は、Oracle Fusion Middleware Oracle Identity Manager開発者ガイドのプラグインの開発に関する説明を参照してください。

- addPluginParam: 既存のアダプタ・レベルのプラグインまたはグローバル・プラグインに、新しいパラメータ値を追加します。

- createJoinAdapter: 指定のOPSSコンテキストと関連付けられたIdentity Virtualization Library (libOVD)に、新しい結合アダプタを作成します。

- createLDAPAdapter: 指定のOPSSコンテキストと関連付けられたIdentity Virtualization Library (libOVD)に、新しいLDAPアダプタを作成します。

- deleteAdapter: 指定のOPSSコンテキストと関連付けられたIdentity Virtualization Library (libOVD)の、既存のアダプタを削除します。

- getAdapterDetails: 指定のOPSSコンテキストと関連付けられたIdentity Virtualization Library (libOVD)に構成されている、既存のアダプタの詳細を表示します。

- istAdapters: 指定のOPSSコンテキストと関連付けられたこのIdentity Virtualization Library (libOVD)に構成されている、すべてのアダプタの名前とタイプをリストします。

- modifyLDAPAdapter: 既存のLDAPアダプタ構成を変更します。

- removeJoinRule: 指定のOPSSコンテキストと関連付けられたIdentity Virtualization Library (libOVD)に構成された結合アダプタから、結合ルールを削除します。

- removeLDAPHost: 既存のLDAPアダプタ構成から、リモート・ホストを削除します。

- removePlugin: 既存のアダプタから、またはグローバル・レベルで、プラグインを削除します。

- removePluginParam: 構成済のアダプタ・レベルのプラグインまたはグローバル・プラグインから、既存のパラメータを削除します。

4. 使用方法を表示するには、次のように個々のコマンドに対してhelpを実行します。

help('addPluginParam')

マルチ言語サポート(MLS)のためにoimLanguages属性のADユーザー管理アダプタを更新する例を次に示します。

- addPluginParam:
このコマンドを次のように使用して、ADユーザー・アダプタのUserManagementプラグインに、oimLanguageパラメータを追加できます。

add PluginParam(adapterName='ldap1', pluginName='UserManagement', paramKeys='oimLanguages', paramValues='fr,zh-CN', contextName='oim')

- removePluginParam:
このコマンドを次のように使用して、ADユーザー・アダプタのUserManagementプラグインから、oimLanguageパラメータを削除できます。

removePluginParam(adapterName='ldap1', pluginName='UserManagement', paramKey='oimLanguages', contextName='oim')

- removePluginParam:
このコマンドを次のように使用して、Changelogプラグインから、modifierDNFilterパラメータを削除できます。

removePluginParam(adapterName='CHANGELOG_ldap1', pluginName='Changelog', paramKey='modifierDNFilter', contextName='oim')

関連項目:

Oracle Identity Managerの変更ログおよびユーザー管理のための、OVDアダプタの作成の詳細は、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』のOracle Virtual Directoryでのアダプタの作成に関する説明を参照してください。

3.9 Identity Virtualization Library (libOVD)に対するアクセス・ログの有効化

Identity Virtualization Library (libOVD)に対してアクセス・ログを有効化すると、Identity Virtualization Library (libOVD)を通過するすべてのリクエストおよびレスポンスを捕捉できます。これは、パフォーマンスの問題を選別する場合に大変便利です。

Identity Virtualization Library (libOVD)に対してアクセス・ログを有効化する手順は、次のとおりです。

1. デバッグ・モードで前に構成されたIdentity Virtualization Library (libOVD)ロガーをすべて削除します。実際のパフォーマンス数値を調べるには、これらのロガーを削除する必要があります。

2. WLSにNOTIFICATIONレベルでoracle.ods.virtualization.accesslogという名前のWLSロガーを作成します。

3. ovd-access.logに類似したファイル名を指定してWLSログ・ハンドラを作成し、そのログ・ハンドラを手順2で作成したロガーと関連付けます。
このログ・ハンドラは、すべてのOracle Virtual Directoryアクセス・ログ・メッセージを別のファイルに記録します。

4. DOMAIN_HOME/config/fmwconfig/ovd/default/provider.os_xmlファイルのバックアップを作成し、次のXML断片を追加します(それがまだ存在していない場合)。

<providers ..>
...
<auditLogPublisher>
<provider name="FMWAuditLogPublisher">
...
</provider>
<provider name="AccessLogPublisher">

<configClass>oracle.ods.virtualization.config.AccessLogPublisherConfig</configClass>
<properties>
<property name="enabled" value="true"/>
</properties>
</provider>
</auditLogPublisher>
...
</providers>

5. WLS管理および管理対象サーバーを再起動します。

これで、Oracle Virtual Directoryによってovd-access.logファイルにアクセス・ログを生成できるようになります。

3.10 LDAP同期が有効な場合のLDAP認証の構成

LDAP同期が有効な場合に認証にLDAPを使用できるようにするには、次の手順を実行します。

注意:

この手順では、次の機能は有効になりません。

- 最初のログイン、管理者パスワードのリセット、期限切れパスワードなどのパスワード変更の強制

- チャレンジ・レスポンスの強制設定

1. WLSでLDAPオーセンティケータを構成します。これを行うには、次のようにします。

1. WebLogic管理コンソールにログインします。

2. 「セキュリティ・レルム」、myrealm、「プロバイダ」に進みます。

3. 「新規」をクリックします。名前を指定し、タイプとしてOracleInternetDirectoryAuthenticatorを選択します。

4. 「制御フラグ」をSUFFICIENTに設定します。

5. 「プロバイダ固有」設定をクリックし、OID接続の詳細を設定します。

6. 「動的グループ」セクションで、次の値を入力します。
動的グループ名属性: cn

動的グループ・オブジェクト・クラス: orcldynamicgroup

動的メンバーURL属性: labeleduri

ユーザー動的グループDN属性: GroupOfUniqueNames

7. 「プロバイダ」タブをクリックします。セキュリティ・プロバイダのリストからOIMオーセンティケータを削除します。これは、ユーザーがOracle Identity Managerデータベースでロックされないようにするためです。

8. そのレルムでOIMSignatureAuthenticatorセキュリティ・プロバイダを構成します。これを行うには、次のようにします。
i) WebLogic管理コンソールにログインします。

ii) 「セキュリティ・レルム」→「myrealm」→「セキュリティ・プロバイダ」→「認証」→「新規」に移動します。

iii) ドロップダウンから「OIMSignatureAuthenticator」を選択し、プロバイダ名として「OIMSignatureAuthenticator」を選択します。

iv) 変更内容を保存します。

9. 「順序変更」をクリックします。次の表にリストされたとおりにセキュリティ・プロバイダを並べ替えます。

認証プロバイダ

制御フラグ

デフォルトのオーセンティケータ

SUFFICIENT

OIMシグネチャ・オーセンティケータ

SUFFICIENT

LDAPオーセンティケータ

SUFFICIENT

デフォルトのIDアサーション・プロバイダ

値なし

2. すべてのサーバーを再起動します。

3. ロール・メンバーシップを検証します。

1. WebLogic管理コンソールにログインします。

2. 「セキュリティ・レルム」→myrealm→「ユーザー」→「グループ」に進みます。

3. 「ユーザー」をクリックし、LDAPユーザー検索ベースですべてのユーザーを表示します。LDAPユーザーが表示されない場合は、LDAP接続にエラーがあることを意味しており、OIDオーセンティケータで詳細が指定されます(プロバイダ固有の設定)。

4. 任意のユーザーをクリックし、対応するグループ・エントリを表示します。リストされるエントリにOimusersが含まれている必要があります。この検証に失敗した場合は、LDAPオーセンティケータのプロバイダ固有の詳細を確認してください。

4 Oracle Identity Managerと統合するためのOracle Virtual Directoryの構成

この章では、Oracle Identity Manager (OIM)と統合するためのOracle Virtual Directoryの構成方法について説明します。

内容は次のとおりです。

- Oracle Internet DirectoryおよびActive Directoryに対するOracle Virtual Directoryアダプタの作成

- UserManagementプラグインの使用方法

- Changelogプラグインの使用方法

- トラブルシューティングのヒント

4.1 Oracle Internet DirectoryおよびActive Directoryに対するOracle Virtual Directoryアダプタの作成

idmConfigToolを使用して、Oracle Internet DirectoryおよびActive DirectoryのOracle Virtual Directory UserアダプタおよびChangelogアダプタを作成できます。Oracle Identity Managerにはアダプタが必要です。Oracle Virtual Directoryを使用してOracle Internet Directoryに接続することを強くお薦めします。ただしこれは必須ではありません。

そのためには、IDMHOST1で次のタスクを実行します。

1. 環境変数MW_HOME、JAVA_HOME、IDM_HOMEおよびORACLE_HOMEを設定します。
IDM_HOMEをIDM_ORACLE_HOMEに設定します。

ORACLE_HOMEをIAM_ORACLE_HOMEに設定します。

2. 構成しているアダプタのプロパティ・ファイルovd1.propsを作成します。このファイルの内容は、Oracle Internet Directoryアダプタを構成しているのか、Active Directoryアダプタを構成しているのかによって異なります。

- Oracle Internet Directoryアダプタ・プロパティ・ファイル:

ovd.host:ovdhost1.mycompany.com
ovd.port:8899
ovd.binddn:cn=orcladmin
ovd.password:ovdpassword
ovd.oamenabled:true
ovd.ssl:true
ldap1.type:OID
ldap1.host:oididstore.myhost.mycompany.com
ldap1.port:3060
ldap1.binddn:cn=oimLDAP,cn=systemids,dc=mycompany,dc=com
ldap1.password:oidpassword
ldap1.ssl:false
ldap1.base:dc=mycompany,dc=com
ldap1.ovd.base:dc=mycompany,dc=com
usecase.type: single

- Active Directoryアダプタ・プロパティ・ファイル:

ovd.host:ovdhost1.mycompany.com
ovd.port:8899
ovd.binddn:cn=orcladmin
ovd.password:ovdpassword
ovd.oamenabled:true
ovd.ssl:true
ldap1.type:AD
ldap1.host:adidstore.myhost.mycompany.com
ldap1.port:636
ldap1.binddn:cn=adminuser
ldap1.password:adpassword
ldap1.ssl:true
ldap1.base:dc=mycompany,dc=com
ldap1.ovd.base:dc=mycompany,dc=com
usecase.type: single

次のリストで、プロパティ・ファイルで使用されるパラメータについて説明します。

- ovd.hostは、Oracle Virtual Directoryを実行しているサーバーのホスト名です。

- ovd.portは、Oracle Virtual Directoryへのアクセスに使用するHTTPSポートです。

- ovd.binddnは、Oracle Virtual Directoryへの接続に使用するユーザーDNです。

- ovd.passwordは、Oracle Virtual Directoryへの接続に使用するDNのパスワードです。

- ovd.oamenabledは、Fusion Applicationデプロイメントでは常にtrueです。

- ovd.sslは、HTTPSポートを使用している場合、trueに設定されます。

- ldap1.typeは、Oracle Internet Directoryバックエンド・ディレクトリの場合はOIDに、Active Directoryバックエンド・ディレクトリの場合はADに設定されます。

- ldap1.hostはバックエンド・ディレクトリが存在するホストです。ロード・バランサ名を使用します。

- ldap1.portは、バックエンド・ディレクトリとの通信に使用されるポートです。

- ldap1.binddnは、oimLDAPユーザーのバインドDNです。

- ldap1.passwordは、oimLDAPユーザーのパスワードです。

- ldap1.sslは、バックエンドのSSL接続を使用している場合、trueに設定され、使用していない場合、falseに設定されます。このパラメータは、アダプタをADに対して作成しているときは、常にtrueに設定します。

- ldap1.baseは、ディレクトリ・ツリーのベースの場所です。

- ldap1.ovd.baseは、Oracle Virtual Directory内のマップされた場所です。

- usecase.typeは、単一ディレクトリ・タイプを使用している場合、Singleに設定されます。

3. 次の場所にあるidmConfigToolコマンドを使用してアダプタを構成します。
IAM_ORACLE_HOME/idmtools/bin

注意:

idmConfigToolを実行すると、idmDomainConfig.paramファイルが作成されるか、既存のこのファイルに情報が追加されます。このファイルは、idmConfigToolを実行したディレクトリに作成されます。このツールを実行するたびに同じファイルに情報が追加されるようにするには、必ず次のディレクトリでidmConfigToolを実行します。

IAM_ORACLE_HOME/idmtools/bin

Linuxの場合、このコマンドの構文は次のとおりです。

idmConfigTool.sh -configOVD input_file=configfile [log_file=logfile]

Windowsの場合、このコマンドの構文は次のとおりです。

idmConfigTool.bat -configOVD input_file=configfile [log_file=logfile]

次に例を示します。

idmConfigTool.sh -configOVD input_file=ovd1.props

このコマンドでは、入力は必要ありません。次のように出力されます。

The tool has completed its operation. Details have been logged to logfile

プロパティ・ファイルでovd.hostに適切な値を設定して、トポロジ内の各Oracle Virtual Directoryインスタンスに対してこのコマンドを実行します。

4.2 UserManagementプラグインの使用方法

このトピックでは、Oracle Virtual DirectoryがOracle Identity Manager統合のコネクタ・ターゲットである場合に使用するように設計されたプラグインについて説明します。

UserManagementプラグインは、Oracle Identity Managerの属性からLDAPディレクトリ・サーバーへのデータ・マッピングを提供します。

4.2.1 構成パラメータ

UserManagementプラグインには、次の構成パラメータがあります。

filterObjectclass

追加または変更リクエスト時に削除する必要のあるオブジェクト・クラスのカンマ区切りのリスト。

removeAttribute

クライアントに戻される前にエントリから実際に削除される属性のカンマ区切りリスト。

exclusionMapping

特定のオブジェクト・クラスに対する特定の属性マッピングの除外を定義します。たとえば、値inetorgperson,uid=samaccountnameを持つパラメータを指定すると、オブジェクト・クラスinetorgpersonのエントリ上のuidからsamaccountnameへのマッピングが除外されます。このオプションの複数のインスタンスを使用すると、マッピングに対して複数の除外が可能になります。

oimLanguages

属性言語サブタイプで使用される言語コードのカンマ区切りリストこのパラメータは、directoryTypeパラメータがActiveDirectoryに設定されている場合にのみ機能します。

oamEnabled

TrueまたはFalse: Oracle Access Management Access Manager (Access Manager)がOracle Identity Managerとともにデプロイされているかどうかを示します。デフォルトでは、Access Managerはデプロイされておらず、したがってこのパラメータのデフォルト設定はfalseです。

注意:

UserManagementプラグインとchangelogプラグインのoamEnabledパラメータの値は同一であることが必要です。

directoryType

ソースLDAPディレクトリ・サーバーのタイプを指定します。サポートされている値はOID、ActiveDirectoryおよびSunOneです。デフォルト値はOIDです。

注意:

UserManagementプラグインとchangelogプラグインのdirectoryTypeパラメータの値は同一であることが必要です。

ssladapter

ssladapterパラメータは、directoryTypeパラメータがActiveDirectoryに設定されている場合にのみ機能し、リクエストにuserPasswordまたはunicodePwdが含まれている場合にUserManagementプラグインによってリクエストがルーティングされる先のアダプタの名前を指定します。unicodePwdがリクエストに含まれている場合、そのリクエストには、適切な値を持つuseraccountControl属性も含まれている必要があります。

ssladapterパラメータによって指定されるアダプタは、次のようになっている必要があります。

- UserManagementプラグインが構成されているアダプタと同じローカル・ベースを持つ

- ルーティングの可視性がInternalに設定されている

ssladapterに値が設定されていない場合は、デフォルトで現在のアダプタが使用されます。

mapAttribute

OVD-attribute=OIM-attributeの形式の属性変換を定義します。たとえば、orclGUID=objectGuidなどです。mapAttribute構成パラメータを複数回設定して、複数の属性の変換を定義できます。

mapPassword

TrueまたはFalse。directoryType構成パラメータをActiveDirectoryに設定すると、mapPasswordパラメータが、ユーザー・パスワードをunicodePwd属性に変換するかどうかを制御します。デフォルト値はfalseです。

mapRDNAttribute

OVD-RDNattribute=OIM-RDNattributeの形式のRDN属性変換を定義します。たとえば、uid=cnなどです。

pwdMaxFailure

(このプラグインがデプロイされているアダプタを介して公開されるユーザー・エントリに適用されたパスワード・ポリシーの定義に従い)ソースLDAPディレクトリ・サーバーによってアカウントがロックされるために必要な失敗ログインの最大回数を指定します。

mapObjectclass

OVD-objectclass=OIM-objectclassの形式のオブジェクト・クラスの値変換を定義します。たとえば、inetorgperson=userなどです。mapObjectclass構成パラメータを複数回設定して、複数のオブジェクト・クラスの変換を定義できます。

注意:

UserManagementプラグインとchangelogプラグインのmapObjectclassパラメータの値は同一であることが必要です。

addAttribute

このパラメータは、attribute=value pairsの形式でget操作結果を戻す前に追加する属性を指定します。属性名の前にobjectclass,を追加すると、属性と値を特定のオブジェクト・クラスに追加できます。また、値を%で囲んで他の属性を参照することもできます。たとえば、値user,samaccountname=%cn%を指定すると、エントリがobjectclass=userである場合にcnの値がsamaccountnameに代入されます。値samaccountname=jdoeを指定すると、値jdoeを持つ属性samaccountnameがすべてのエントリに追加されます。

4.3 Changelogプラグインの使用方法

注意:

リリース11.1.1.4.0より前のOracle Virtual Directoryには、次の3つのchangelogプラグインがありました。

- Oracle Internet Directoryとともに使用するためのoidchangelog

- Oracle Directory Server Enterprise Editionとともに使用するためのsunonechangelog

- Microsoft Active Directoryとともに使用するためのadchangelog

これらの3つのプラグインはリリース11.1.1.4.0では非推奨となり、新しい単一のChangelogプラグインが使用可能になっています。このプラグインは、Oracle Internet Directory、Oracle Directory Server Enterprise Edition、およびMicrosoft Active Directoryで使用できます。

4.3.1 リリース11.1.1.4.0 Changelogプラグインのデプロイ

この単一のChangelogプラグインをデプロイする際は、次のことが必要です。

- アダプタの「リモート・ベース」を空の値に、つまり空白にします。

- アダプタの「マップされたネームスペース」をcn=changelogに設定します。

- バックエンドがOracle Directory Server Enterprise Editionである場合、Oracle Directory Server Enterprise Edition上のロギングの変更を必ず有効化してください。

4.3.2 前のリリースからのChangelogプラグインのデプロイ

11.1.1.4.0より前にリリースされたバージョンのOracle Virtual Directoryを使用している場合、次のchangelogプラグインを使用して、changelog情報をソース・ディレクトリからOracle Identity Managerに適した形式に標準化してください。

注意:

これらのプラグインはOracle Virtual Directoryリリース11.1.1.4.0では機能しません。

Oracle Internet Directoryの場合

Oracle Internet Directoryではoidchangelogプラグインを使用します。

oidchangelogプラグインをデプロイする場合は、アダプタの「リモート・ベース」を空の値に、つまり空白にします。

Oracle Directory Server Enterprise Editionの場合

Oracle Directory Server Enterprise Editionでは、sunonechangelogプラグインを使用します。

sunonechangelogプラグインをデプロイする際は、次のことが必要です。

- アダプタの「リモート・ベース」を空の値に、つまり空白にします。

- Oracle Directory Server Enterprise Editionで変更ログが有効化されていることを確認します。

- アダプタの「マップされたネームスペース」をcn=changelogに設定します。

Microsoft Active Directoryの場合

Microsoft Active Directoryではadchangelogプラグインを使用します。

adchangelogプラグインをデプロイする際は、次のことが必要です。

- アダプタの「リモート・ベース」を空の値に、つまり空白にします。

- アダプタの「マップされたネームスペース」をcn=changelogに設定します。

4.3.3 構成パラメータ

各changelogプラグインには、次の構成パラメータがあります。

removeAttribute

クライアントに戻される前にエントリから実際に削除される属性のカンマ区切りリスト。

oimLanguages

属性言語サブタイプで使用される言語のカンマ区切りリスト。

skipErrorChangelog

TrueまたはFalse。falseに設定されていて、破損したchangelogエントリがプラグインによって検出された場合、プラグインはDirectoryExceptionをスローし、changelogエントリのそれ以降の処理を停止します。trueに設定されている場合、プラグインは例外をスローせずにエラーを記録し、このchangelogをスキップして、次のchangelogの処理を続行します。デフォルト値はfalseです。

oamEnabled

TrueまたはFalse: Access ManagerがOracle Identity Managerとともにデプロイされているかどうかを示します。デフォルトでは、Access Managerはデプロイされておらず、したがってこのパラメータのデフォルト設定はfalseです。

注意:

UserManagementプラグインとchangelogプラグインのoamEnabledパラメータの値は同一であることが必要です。

directoryType

ソースLDAPディレクトリ・サーバーのタイプを指定します。サポートされている値はOID、ActiveDirectoryおよびSunOneです。デフォルト値はOIDです。

注意:

UserManagementプラグインとchangelogプラグインのdirectoryTypeパラメータの値は同一であることが必要です。

mapObjectclass

OIM-objectclass=Source-Directory-objectclassの形式のオブジェクト・クラスの値変換を定義します。たとえば、inetorgperson=userなどです。mapObjectclass構成パラメータを複数回設定して、複数のオブジェクト・クラスの変換を定義できます。

Oracle Identity Managerのユース・ケースでは、次のパラメータがすぐに使用できるように構成されています。

- Active Directoryの場合: inetorgperson=user, orclidxperson=user, and groupOfUniqueNames=group

- Oracle Directory Server Enterprise Editionの場合: container=nsContainer and changelog=changelogentry

- Oracle Internet Directoryの場合: container=orclContainer

注意:

UserManagementプラグインとchangelogプラグインのmapObjectclassパラメータの値は同一であることが必要です。

sizeLimit

戻されるchangelogエントリの最大数を指定します。

ゼロ(0)または負の値は、サイズ制限がないことを意味します。

受信する検索リクエストでサイズの制約が指定されている場合、小さいほうの値が使用されます。たとえば、プラグインのsizeLimitを100に指定してあり、検索リクエストのカウント制限が200である場合は、リクエストの実際のサイズ制限は100にリセットされます。

mapAttribute

Source-Directory-attribute=OIM-attributeの形式の属性変換を定義します。たとえば、orclGUID=objectGuidなどです。mapAttribute構成パラメータを複数回設定して、複数の属性の変換を定義できます。

targetDNFilter

変更の取得元となるコンテナを指定します。このパラメータは複数回設定して、変更の取得元となるコンテナを複数指定できます。複数回設定した場合、targetDNフィルタは次の例のようになります。このtargetDNフィルタは受信フィルタにandで結合されます。

"(|(targetDN=*cn=users,dc=mycom1)(targetDN=*,cn=groups,dc=mycom2))"

次に値の例を示します。

- *,cn=xxx,dc=yyy

- *cn=xxx,dc=yyy

- cn=xxx,dc=yyy (virtualDITAdapterNameで指定されているアダプタのローカル・ベースの子であることが必要です。)

これらの例はすべて同じ意味を持ちます。

requiredAttribute

Oracle Virtual Directoryへのchangelog問合せに対して指定されている戻り属性リストに関係なく、ソースLDAPディレクトリ・サーバーから常に取得される属性のカンマ区切りリスト。

addAttribute

正規化されているchangelogエントリに追加される属性のカンマ区切りリスト。たとえば、orclContainerOC=1, changelogSupported=1などです。ここで、=1はchangelogをサポートしているソース・ディレクトリから取得される変更を示します。

mapUserState

TrueまたはFalse。このパラメータは、ディレクトリ固有のアカウント属性からOracle Virtual Directoryの仮想アカウント属性へのマッピングを有効化または無効化します。

modifierDNFilter

modifiersNameに対するLDAPフィルタを定義する単一の値を持つ構成パラメータ。このパラメータは、受信フィルタにandで結合されます。値の例としては、(modifiersName=cn=myadmin,cn=users,dc=mycom)があります。

注意:

この構成は、directoryType=ActiveDirectoryの場合は無効です。

virtualDITAdapterName

対応するユーザー・プロファイル・アダプタ名を指定します。

たとえば、単一ディレクトリ・デプロイメントでは、このパラメータの値をA1に設定できます。これはユーザー・アダプタ名です。分割ユーザー・プロファイルのシナリオでは、このパラメータをJ1;A2に設定できます。ここでJ1はJoinViewアダプタ名であり、A2はJ1における対応するユーザー・アダプタです。

このパラメータは複数値を取ることができます。これは、changelogアダプタと同じバックエンド・ディレクトリ・サーバーに対して構成されている複数のベース・エントリ・アダプタがあることを意味します。

このパラメータをA1に設定する場合、このプラグインはアダプタA1のUserManagementPluginのmapAttributeおよびmapObjectclass構成をフェッチするため、ユーザーがそれらの構成を複製する必要はありません。

4.4 トラブルシューティングのヒント

この項では、Oracle Virtual Directoryでデバッグを有効化する方法について説明します。これは、Oracle Identity ManagerとOracle Virtual Directoryの統合のトラブルシューティングが必要な場合に役立ちます。

デバッグを有効化するには、次の手順を実行します。

1. コマンド・ウィンドウを開き、次の場所に移動します。

OVD ORACLE_INSTANCE/config/OVD/ovd1

2. ovd-logging.xmlファイルのコピーを保存します。

3. 次のようにovd-logging.xmlファイルを編集します。

- 25行目にある

<logger name='com.octetstring.vde' level='NOTIFICATION:1' useParentHandlers='false'>

を次のように変更します。

<logger name='com.octetstring.vde' level='TRACE:32' useParentHandlers='false'>

- 28行目にある

<logger name='com.octetstring.accesslog' level='ERROR:1' useParentHandlers='false'>

を次のように変更します。

<logger name='com.octetstring.accesslog' level='NOTIFICATION:1' useParentHandlers='false'>

4. 次のように入力することでOracle Virtual Directoryを再起動します。

cd ORACLE_INSTANCE/bin
./opmnctl stopproc ias-component=ovd1
./opmnctl startproc ias-component=ovd1

関連項目:

「My Oracle Supportを使用したその他のトラブルシューティング情報」。

5 Oracle Internet DirectoryとAccess Managerの統合

この章では、Oracle Access Management Access Managerと使用するための集中管理されたLDAPストアのインストール後の有効化について説明します。この章では、Oracle Internet Directoryについて説明します。タスクは、選択したLDAPプロバイダに関係なく同じです。

この章の内容は次のとおりです。

- 概要

- 前提条件

- Access ManagerへのOracle Internet Directoryの登録

- WebLogic Serverでの認証プロバイダのセットアップ

- Access Managerとユーザー・アイデンティティ・ストアとの間の認証の構成

- 認証とアクセスの検証

関連項目:

『Oracle Fusion Middleware Oracle WebLogic Serverの保護』

5.1 概要

Oracle Access Management Access Manager (Access Manager)は、アイデンティティ・ドメインとして各ユーザー移入とLDAPディレクトリ・ストアに対応しています。それぞれのアイデンティティ・ドメインは、Access Managerに登録されている構成済のLDAPユーザー・アイデンティティ・ストアにマップされます。それぞれがサポートされている異なるLDAPプロバイダに依存している複数のLDAPストアを使用できます。

WebLogic Serverドメインの最初の構成中に、組込みLDAPがAccess Managerの唯一のユーザー・アイデンティティ・ストアとして構成されます。組込みLDAP内では、weblogicがデフォルトの管理者としてあらかじめ設定された管理者グループが作成されます。

注意:

組込みLDAPは、ユーザーが10,000人未満のときにパフォーマンスが最も良くなります。ユーザーがこれより多い場合は、別のエンタープライズLDAPサーバーを考慮してください。高可用性構成では、ユーザー・アイデンティティ・ストアとして外部LDAPディレクトリを使用することをお薦めします。

Access Managerには、システム・ストアおよびデフォルト・ストアが必要です。WebLogicドメインの最初の構成中に、組込みLDAPストアが、システム・ストアとデフォルト・ストアの両方として指定される唯一のユーザー・アイデンティティ・ストアとして構成されます。

- システム・ストア: 1つのユーザー・アイデンティティ・ストアのみをシステム・ストアとして指定できます(必ず指定する必要があります)。これは、Oracle Access Managementコンソール、リモート登録、およびWLSTのカスタム管理コマンドを使用するためにサインインする管理者の認証に使用されます。

注意:

リモート・ユーザー・ストアをシステム・ストアとして定義すると、同じシステム・ストアを参照するLDAP認証モジュールを使用するようにOAMAdminConsoleSchemeを変更する必要があります。

- デフォルト・ストア: 名前が示すとおり、デフォルト・ストアとして指定されたLDAPストアは、別のストアを構成しないかぎり、LDAP認証メソッドに対して自動的に選択されます。

注意:

Oracle Security Token Serviceは、指定されたデフォルト・ストアのみを使用します。トークン発行ポリシーにユーザー制約を追加するとき、たとえば、ユーザーを選択するアイデンティティ・ストアはデフォルト・ストアである必要があります。

Access Managerにユーザー・アイデンティティ・ストアを登録すると、管理者は、1つ以上の認証プラグインまたはAccess Manager認証スキームの基盤を形成するモジュールでそのストアを参照できます。Oracle Access Managementコンソールまたはリモート登録ツールを使用してパートナを登録する場合、アプリケーション・ドメインを作成し、デフォルト認証スキームを使用するポリシーでシードできます。ユーザーが、Access Managerで保護されたリソースにアクセスしようとすると、認証プラグインまたはモジュールによって指定されているストアに対して認証されます。

タスクの概要: Access Managerに対するLDAPストアの構成

1. 前提条件の完了

2. Access ManagerへのOracle Internet Directoryの登録

3. WebLogic Serverでの認証プロバイダのセットアップ

4. Access Managerとユーザー・アイデンティティ・ストアとの間の認証の構成

5. 認証とアクセスの検証

5.2 前提条件

この章のタスクを開始する前に、必ず、インストール済LDAPディレクトリ・サーバーを熟知しておいてください。この章ではOracle Internet Directoryに焦点を当てていますが、同じタスクを、Access Managerと連動するすべてのサポートされているLDAPに対して適用できます。

Access Manager用のLDAPストアを統合するための準備手順は、次のとおりです。

1. Oracle Fusion Middleware Oracle Internet Directory管理者ガイドの説明に従って、目的のLDAPディレクトリ・サーバー(この例ではOracle Internet Directory)をインストールします。

2. 『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』の説明に従って、目的のLDAPディレクトリとともにAccess Managerをインストールし、セットアップします(Oracle Internet Directoryの構成に関する項も参照)。

3. 『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』の説明に従って、Access ManagerのLDAPディレクトリ・スキーマを拡張します。

4. 『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』の説明に従って、LDAPディレクトリにUsersおよびGroupsを作成します。

5. 「Access ManagerへのOracle Internet Directoryの登録」に進みます。

5.3 Access ManagerへのOracle Internet Directoryの登録

この項では、OAMサーバーとの接続を提供するための、サポートされているLDAPユーザー・アイデンティティ・ストアのインストール後の登録について説明します。次の項を参照してください。

- LDAPストアの登録ページについて

- Access Managerへのユーザー・アイデンティティ・ストアの登録

- システム・ストア、管理者またはデフォルト・ストアの指定

5.3.1 LDAPストアの登録ページについて

この手順では、Access ManagerにOracle Internet Directoryを登録します。手順は、どのサポートされているLDAPを登録する場合でも同じです。登録完了ページは、図5-1に類似したものになります。

関連項目:

各要素の詳細は、Oracle Fusion Middleware Oracle Access Management管理者ガイドを参照してください。

図5-1 指定したデフォルト・ストアの完了した登録

5.3.2 Access Managerへのユーザー・アイデンティティ・ストアの登録

前提条件

ユーザー・アイデンティティ・ストアは、「前提条件」の記載どおりにインストールされ、稼働している必要があります。

Access ManagerにOracle Internet Directoryを登録する手順は、次のとおりです。

1. Oracle Access Managementコンソールに移動し、管理者としてログインします。次に例を示します。

https://examplehost:port/oamconsole/

2. Oracle Access Managementコンソールで、次のようにユーザー・アイデンティティ・ストア・ノードを開きます。
「システム構成」タブ
「共通構成」セクション
「データソース」ノード

3. 「ユーザー・アイデンティティ・ストア」ノードをクリックし、ツール・バーの「作成」(+)ボタンをクリックします。

4. 「作成: ユーザー・アイデンティティ・ストア」ページで、使用するLDAPストアおよびデプロイメントに適した値を入力または選択し、「適用」をクリックします。次に例を示します。
ストア名: example
ストア・タイプ: OID Oracle Internet Directory
SSLの有効化:

場所: example:389
バインドDN cn=exampleadmin
パスワード ********

ユーザー名属性 uid
ユーザー検索ベース cn=example-users,dc=us,dc=example,dc=com
ユーザー・フィルタ・オブジェクト・クラス initorgperson
グループ名属性
グループ検索ベース cn=groups,dc=us,dc=example,dc=com
グループ・フィルタ・オブジェクト・クラス

グループ・キャッシュの有効化
グループ・キャッシュ最大サイズ(Mb) 0
グループ・キャッシュ存続時間(秒) 0

最小プール・サイズ 1
結果タイム・リミット(秒) 5
最大プール・サイズ 50
再試行回数 3
待機タイムアウト(秒) 5
参照ポリシー follow
非アクティブのタイムアウト(秒) 120

5. 「適用」をクリックして、登録を送信します。

6. 接続テスト: 「接続テスト」ボタンをクリックして接続性を確認し、「確認」ウィンドウを閉じます。

7. このページを閉じます。

8. 「システム・ストア、管理者またはデフォルト・ストアの指定」に進みます。

5.3.3 システム・ストア、管理者またはデフォルト・ストアの指定

ユーザー・アイデンティティ・ストアの登録ページを開くと、「デフォルト・ストア」または「システム・ストア」オプションを選択し、管理者ユーザーおよびロールを定義できます。デフォルトでは、Access Manager管理者のロールはWebLogic管理者のロール(ユーザーweblogic)と同じです。これは、エンタープライズで管理者の独立したセットが必要な場合、変更できます。

管理者ロール、ユーザーおよびグループはすべて、Access Managerでシステム・ストアとして指定されているLDAPストアに格納する必要があります。システム・ストアの指定を変更する場合は、適切な管理者ロールを新しいシステム・ストアに追加することが必要です。

注意:

管理者ログインは、IAMSuiteAgentによって使用されるOAMAdminConsoleSchemeによって使用されるLDAP認証モジュールが、システム・ストアとして指定されているLDAPストアを使用する場合のみ機能します。

前提条件

Access Managerへのユーザー・アイデンティティ・ストアの登録

次の手順では、Oracle Internet Directoryがシステム・ストアとデフォルト・ストアの両方として設定されることを想定しています。環境は様々です。ご使用のものに適した手順のみ実行してください。ご使用のデプロイメントに該当しない手順は省略してください。

システム・ストア、管理者またはデフォルト・ストアを指定する手順は、次のとおりです。

1. Oracle Access Managementコンソールから、目的のストアの登録ページを開きます。
「システム構成」タブ
「共通構成」セクション
「データソース」ノード
「ユーザー・アイデンティティ・ストア」ノード
目的のストア(この場合はexample)

2. システム・ストアの設定: このストアに管理者ロールおよび証明書が存在する必要があります。

1. 登録ページの「デフォルトとシステム・ストアのオプション」セクションで、「システム・ストアとして設定」の横にあるボックスを選択します(ドメイン全体の認証および認可操作の場合)。

2. 「適用」をクリックして、「確認」ウィンドウを閉じます。

3. 認証モジュール: 後で、OAMAdminConsoleSchemeによって使用されるLDAP認証モジュールがこのシステム・ストアを使用するように設定するよう指示されます。(「Access Managerとユーザー・アイデンティティ・ストアとの間の認証の構成」)

3. 管理者ユーザー・ロールの追加(システム・ストア):

1. システム・ストアとして指定するLDAPストアで、管理者ロール、ユーザーおよびグループを、ご使用のベンダーのドキュメントをガイドとして使用して追加します。

2. Oracle Access Managementコンソールから、「データ・ソース」、「ユーザー・アイデンティティ・ストア」ノードの下のhe 目的のストアの登録ページを開きます。

3. 「アクセス・システム管理者」表にある「追加」(+)ボタンをクリックして、「システム管理者ロールの追加」ダイアログ・ボックスを表示します。

4. 「タイプ」のリストから「ユーザー」を選択し、「検索」ボタンをクリックします。

5. 結果の表で、目的のユーザーをクリックし、「選択済の追加」ボタンをクリックします。

6. 必要に応じて繰り返し、他の管理者ユーザー・ロールを追加します。

7. 「適用」をクリックしてユーザー・ロールを送信します。

4. 管理者グループ・ロールの追加(システム・ストア):管理者グループが、グループ検索ベースで使用可能なことを確認します。

1. Oracle Access Managementコンソールから、「データ・ソース」、「ユーザー・アイデンティティ・ストア」ノードの下のhe 目的のストアの登録ページを開きます。

2. 「アクセス・システム管理者」表にある「追加」(+)ボタンをクリックして、「システム管理者ロールの追加」ダイアログ・ボックスを表示します。

3. 「タイプ」のリストから「グループ」を選択し、「検索」ボタンをクリックします。

4. 結果のリストで、目的のグループをクリックし、「選択済の追加」ボタンをクリックします。

5. 必要に応じて繰り返し、他の管理者グループ・ロールを追加します。

6. 「適用」をクリックしてグループ・ロールを送信します。

5. 新しいロールのテスト: ブラウザのウィンドウを閉じてから、再び開きます。

1. Oracle Access Managementコンソールからサインアウトしてブラウザ・ウィンドウを閉じます。

2. Oracle Access Managementコンソールを起動して、以前の管理者ロールを使用してログインを試み、これが失敗することを確認します。

3. 新しい管理者ロールを使用してログインし、この試みが成功することを確認します。
ログインの失敗: 『Oracle Fusion Middleware Oracle Access Management管理者ガイド』のトラブルシューティングに関する項の管理者のロックアウトを参照してください。

6. デフォルト・ストアの設定 (パッチ適用の際の移行の場合のみ): OAMAdminConsoleSchemeによって使用されるLDAP認証モジュールは、このストアがシステム・ストアとしても指定されていないかぎり、それを指さないようにしてください。

1. Oracle Access Managementコンソールから、目的のストアの登録ページを開きます。

2. 「デフォルト・ストアとして設定」の横にあるボックスを選択します。

3. 「適用」をクリックして、「確認」ウィンドウを閉じます。

7. 「WebLogic Serverでの認証プロバイダのセットアップ」に進みます。

5.4 WebLogic Serverでの認証プロバイダのセットアップ

この手順を実行して、Oracle Access Managementコンソールにアクセスするときに複数のログイン・ページが表示されないようにするために、ご使用のLDAPプロバイダのオーセンティケータを作成します。

Oracle Access Managementコンソールを使用して認証を受ける場合でも、WebLogic Server管理コンソールで直接認証を受ける場合でも、すべての認証プロバイダがシングル・サインオンに対してSUFFICIENTに設定されていることを確認します。

WebLogicプロバイダ
IAMSuiteAgent
OracleInternetDirectoryAuthenticator
DefaultIdentityAsserter

注意:

どのプロバイダもREQUIREDに設定すると、シングル・サインオンでAccess ManagerとWebLogic Serverの両方に到達するのではなく、再認証になります。

前提条件

Access ManagerへのOracle Internet Directoryの登録

WebLogic Serverでご使用のLDAPプロバイダを構成する手順は、次のとおりです。

1. WebLogic Server管理コンソールに通常通りにログインします。次に例を示します。

http://AdminServerHost:7001/console

2. ご使用のLDAPオーセンティケータの追加:

1. 「セキュリティ・レルム」→「myrealm」→「プロバイダ」をクリックします。

2. 「新規」をクリックし、名前を入力して、タイプを選択します。次に例を示します。
名前: OID Authenticator

タイプ: OracleInternetDirectoryAuthenticator

OK

3. 「認証プロバイダ」表内で、新しく追加されたオーセンティケータをクリックします。

4. 「設定」ページで「共通」タブをクリックし、「制御フラグ」をSUFFICIENTに設定して「保存」をクリックします。

5. 「プロバイダ固有」タブをクリックし、ご使用のデプロイメントに対して次の値を指定します。
ホスト: LDAPホスト。例: example

ポート: LDAPホストのリスニング・ポート。3060

プリンシパル: LDAP管理ユーザー。例: cn=*********

資格証明: LDAPの管理ユーザー・パスワード。********

ユーザー・ベースDN: LDAPユーザーと同じ検索ベース。

すべてのユーザーのフィルタ: 例: (&(uid=*)(objectclass=person))

ユーザー名属性: LDAPディレクトリ内のユーザー名のデフォルト属性として設定。例: uid

グループ・ベースDN: グループ検索ベース(ユーザー・ベースDNと同じ)。

注意:

デフォルト設定でも正常に機能するため、「すべてのグループのフィルタ」は設定しないでください。

保存。

3. DefaultIdentityAsserterの設定:

1. 「セキュリティ・レルム」から、「myrealm」→「プロバイダ」→「認証」→「DefaultIdentityAsserter」をクリックし、構成ページを表示します。

2. 「共通」タブをクリックして制御フラグをSUFFICIENTに設定します。

3. 保存。

4. プロバイダの並替え:

1. プロバイダがリストされた「サマリー」ページで、「並替え」ボタンをクリックします

2. 「認証プロバイダの並替え」ページで、プロバイダ名を選択し、リストの横にある矢印を使用してプロバイダの並替えを行います。
WebLogicプロバイダ
IAMSuiteAgent
OracleInternetDirectoryAuthenticator
DefaultIdentityAsserter

3. OKをクリックして変更を保存します

5. 変更のアクティブ化: 「チェンジ・センター」で「変更のアクティブ化」をクリックします。

6. Oracle WebLogicサーバーを再起動します。

7. 「Access Managerとユーザー・アイデンティティ・ストアとの間の認証の構成」に進みます。

5.5 Access Managerとユーザー・アイデンティティ・ストアとの間の認証の構成

外部LDAPリポジトリは、次の場合に使用するユーザー、ロールおよびグループ・メンバーシップ情報を提供できます。

- 認証中にポリシーを評価する場合

- ポリシー内の認可条件に対するアイデンティティを評価する場合

- 認可ポリシーでの条件のアイデンティティを検索するために、LDAPを使用する場合

この項では、Access Managerとともに新しいユーザー・アイデンティティ・ストアを使用するために必要な認証構成の概要を示します。Oracle Internet Directoryについて説明しますが、このタスクはサポートされているすべてのLDAPリポジトリに適用されます。次のトピックを参照してください。

- Access Manager認証モジュール、プラグインおよびスキームについて

- Access Managerでのユーザー・アイデンティティ・ストアに対する認証の定義

- LDAPストアに依存するAccess Managerポリシーの管理

5.5.1 Access Manager認証モジュール、プラグインおよびスキームについて

リソースまたはリソースのグループへのアクセスは、単一の認証プロセスで制御できます。中心となるのは、ユーザーを認証するために必要なチャレンジ・メソッドおよび認証メソッドまたはプラグインを定義する認証スキームです。

基本またはフォーム・チャレンジ・メソッドでは、特定のLDAPサーバーを指す認証メソッドが必要です。たとえば、OAMAdminConsoleSchemeは、管理者ロールと資格証明をLDAPモジュールに依存します。新しいシステム・ストアを定義する場合、必ず、LDAPモジュールがそれを指すように変更してください。

注意:

システム・ストアを使用する認証メソッドをすべて変更し、それらが新しいシステム・ストアを指すようにしてください。

表5-1は、LDAPチャレンジ・メソッドを使用する事前定義済認証スキームを示しています。詳細は、『Oracle Fusion Middleware Oracle Access Management管理者ガイド』を参照してください。

表5-1 LDAP認証モジュールを使用するフォームおよび基本認証スキーム

スキーム名

指定

用途

BasicScheme

認証レベル: 1
チャレンジ・メソッド: Basic
認証モジュール: LDAP

ほとんどのディレクトリ・タイプのAccess Manager関連リソース(URL)を保護します。

注意: 認証レベル1は、公開ページの0よりも1つ高いだけのレベルです。カスタム認証スキームにレベル1を使用しないことをお薦めします。

BasicSessionlessScheme

認証レベル: 1
チャレンジ・メソッド: Basic
認証モジュール: LDAP

主に、URLリダイレクトまたはCookieをサポートしないクライアントに使用されます。

チャレンジ・パラメータ: CookieLessMode=true

FAAuthScheme

認証レベル: 2
チャレンジ・メソッド: フォーム
認証モジュール: LDAP
コンテキスト: customWar
コンテキスト値: /fusion_apps

Fusion Applicationsを保護します。

LDAPScheme

認証レベル: 2
チャレンジ・メソッド: フォーム
認証モジュール: LDAP

フォーム・チャレンジ・メソッドに基づくほとんどのディレクトリ・タイプのAccess Manager関連リソース(URL)を保護します。

OAAMAdvanced

認証レベル: 2
チャレンジ・メソッド: フォーム
認証モジュール: LDAP

コンテキスト・タイプ: 外部

外部コンテキスト・タイプでOAAM関連リソースを保護します。OAAMとの完全な統合が必要な場合、この認証スキームが使用されます。Webgateは、パートナのフロント・エンド処理を行う必要があります。

OAAMBasic

認証レベル: 2
チャレンジ・メソッド: フォーム
認証モジュール: LDAP

コンテキスト・タイプ: デフォルト
コンテキスト値: /oam

デフォルト・コンテキスト・タイプでOAAM関連リソースを保護します。OAAMとの基本統合が必要な場合、このスキームを使用する必要があります。ここでは、OTPなどの拡張機能はサポートされません。エージェントとしてmod_ossoを使用する場合、統合機能のようになります。

チャレンジ・パラメータ:

oaamPostAuth=true

oaamPreAuth=true

OAMAdminConsoleScheme

認証レベル: 2
チャレンジ・メソッド: フォーム
認証モジュール: LDAP

コンテキスト・タイプ: デフォルト
コンテキスト値: /oam

Oracle Access Management管理コンソールの認証スキーム。

OIMScheme

認証レベル: 1
チャレンジ・メソッド: フォーム
認証モジュール: LDAP

コンテキスト・タイプ: デフォルト
コンテキスト値: /oam

デフォルト・コンテキスト・タイプでOracle Identity Manager関連リソースを保護します。

注意: Access ManagerとOracle Identity Managerを統合する場合、次のいずれかが検出されるとAccess Managerによってユーザーの認証レベルが引き下げられます。

パスワード期限切れ
強制的なパスワードの変更
未実行のチャレンジ設定

5.5.2 Access Managerでのユーザー・アイデンティティ・ストアに対する認証の定義

次のものは、登録済ユーザー・アイデンティティ・ストアを指すLDAP認証メソッドおよび、フォームまたは基本認証にこのLDAPモジュールを使用する認証スキームをセットアップする際の手順を示しています。OAMAdminConsoleSchemeは、この例で、新しいLDAPストアをシステム・ストアとして指定したという想定の下に使用されています。環境によっては異なることがあります。

前提条件

WebLogic Serverでの認証プロバイダのセットアップ

指定したユーザー・アイデンティティ・ストアには認証に必要なすべてのユーザー資格証明が含まれていることを確認してください。

Access Managerでの認証にアイデンティティ・ストアを使用する手順は、次のとおりです。

1. 認証モジュールおよびプラグイン: 次のものをOracle Access Managementコンソールで開きます。
「システム構成」タブ
「Access Managerの設定」セクション
「認証モジュール」ノード

1. LDAPモジュール: LDAP認証モジュールを開き、使用するユーザー・アイデンティティ・ストアを選択し、「適用」をクリックします。

関連項目:

『Oracle Fusion Middleware Oracle Access Management管理者ガイド』

2. カスタム認証モジュール: LDAPPluginステップ(stepUI、UserIdentificationPlugIn)で、使用するKEY_IDENTITY_STORE_REFを選択し、「適用」をクリックします。次に例を示します。
「システム構成」タブ
「Access Manager」セクション
「認証モジュール」
「カスタム認証モジュール」
「LDAPPlugin」
「ステップ」タブ
stepUI UserIdentificationPlugIn

この手順をstepUA UserAuthenticationPlugInプラグインについて繰り返し、次に示すように変更を適用します。

関連項目:

『Oracle Fusion Middleware Oracle Access Management管理者ガイド』

2. 認証スキーム・チャレンジ・メソッド: フォームおよび基本チャレンジ・メソッドには、ユーザー・アイデンティティ・ストアを指すLDAP認証モジュールまたはプラグインへの参照が必要です。次に例を示します。
Oracle Access Managementコンソール
「ポリシー構成」タブ
「共有コンポーネント」ノード
「認証スキーム」ノード
目的のスキーム (OAMAdminConsoleSchemeまたは任意のフォームまたは基本スキーム)

1. 認証モジュールが、アイデンティティ・ストアを指すLDAPモジュールまたはプラグインを参照していることを確認します。

2. 「適用」をクリックして変更を送信します(または変更を適用しないでページを閉じます)。

3. 確認ウィンドウを閉じます。

関連項目:

『Oracle Fusion Middleware Oracle Access Management管理者ガイド』

3. 「LDAPストアに依存するAccess Managerポリシーの管理」に進みます。

5.5.3 LDAPストアに依存するAccess Managerポリシーの管理

Access Managerポリシーによって特定のリソースが保護されます。ポリシーおよびリソースは、アプリケーション・ドメイン内に編成されます。この項では、ユーザー・アイデンティティ・ストアを指す認証スキームを使用する認証ポリシーを構成する方法について説明します。

「ポリシーの自動作成」オプションを使用して(Oracle Access Managementコンソールまたはリモート登録ツールで)パートナを登録すると、アプリケーション・ドメインが作成され、これにポリシーがシードされます。シードされた認証ポリシーは、デフォルトとして指定されている認証スキームを使用します。また、パートナを登録せずにアプリケーション・ドメインおよびポリシーを作成できます。

関連項目:

詳細は、『Oracle Fusion Middleware Oracle Access Management管理者ガイド』を参照してください。

前提条件

Access Managerでのユーザー・アイデンティティ・ストアに対する認証の定義

LDAP認証を使用するアプリケーション・ドメインおよびポリシーを作成する手順は、次のとおりです。

1. Oracle Access Managementコンソールから、次を開きます。
Oracle Access Managementコンソール
「ポリシー構成」タブ
「アプリケーション・ドメイン」ノード

2. 目的のアプリケーション・ドメインを見つけて開きます(または「作成」(+)ボタンをクリックし、一意の名前を入力してそれを保存します)。

3. リソース定義: 『Oracle Fusion Middleware Oracle Access Management管理者ガイド』の説明に従って、定義を追加します。

4. 認証ポリシー: 目的の認証ポリシーを開くか作成します。次に例を示します。

1. 「ポリシー」ページで、ユーザー・アイデンティティ・ストアを指すLDAPモジュールまたはプラグインを参照するスキームを選択します。
認証スキーム: LDAP (または別のLDAPモジュールまたはプラグイン)

2. 「適用」をクリックして、「確認」ウィンドウを閉じます。

3. 認証ポリシーのリソース:
「認証ポリシー」ページの「リソース」タブをクリックします。
タブの「追加」ボタンをクリックします。
リストからURLを選択します。
必要に応じてこれらの手順を繰り返して、リソースを追加します。

4. 必要なレスポンスを加えて認証ポリシーを完了します。

5. 認可ポリシー条件: 『Oracle Fusion Middleware Oracle Access Management管理者ガイド』の説明に従って、特定のリソースに対して認可ポリシーを作成または変更し、リソース、条件およびルールとともに含めます。

6. トークン発行ポリシー条件: トークン発行ポリシーのアイデンティティ条件の設定時に、特定のアイデンティティ・ストアを選択します。『Oracle Fusion Middleware Oracle Access Management管理者ガイド』を参照してください。

7. 「認証とアクセスの検証」に進みます。

5.6 認証とアクセスの検証

ここでの手順は、エージェント登録と認証および認可ポリシーを操作できることを確認するいくつかの方法を示しています。手順は、OAMエージェントおよびOSSOエージェント(mod_osso)でほとんど同じです。OSSOエージェントは認証ポリシーのみ使用し、認可ポリシーは使用しません。

前提条件

- アクセスを付与されたユーザーおよびグループは、Access Managerに登録され、リソースを保護している認証スキームによって使用される認証モジュールまたはプラグインで指定されているLDAPユーザー・アイデンティティ・ストアに存在している必要があります。

- Access Managerで操作するためにエージェントを登録する必要があります。登録後、管理サーバーまたは管理対象サーバーを再起動することなく適切な認証とともに保護されたリソースにアクセスできる必要があります。

- 特定のリソースに対して、アプリケーション・ドメイン、認証ポリシーおよび認可ポリシーを構成する必要があります。

認証およびアクセスを確認するには、次の手順を実行します。

1. Webブラウザを使用すると、登録されたエージェントで保護されたアプリケーションのURLを入力して、ログイン・ページが表示されていることを確認します(認証リダイレクトURLが適切に指定されたことが証明されます)。次に例を示します。

http://exampleWebserverHost.sample.com:8100/resource1.html

2. ログイン・ページにリダイレクトしていることを確認します。

3. 「サインイン」ページで、求められた場合に有効なユーザー名およびパスワードを入力し、「サインイン」をクリックします。

4. リソースにリダイレクトしていることを確認し、先に進みます。

- 成功: 正しく認証され、リソースへのアクセスが付与された場合、構成が正常に動作します。

- 失敗: ログイン中にエラーを受け取った場合またはリソースへのアクセスが拒否された場合、次の項目を確認します。

- 失敗した認証: 有効な資格証明を使用して再度サインインします。

- URL...のアクセスの拒否: このリソースのアクセスにこのユーザーIDが認可されていません。

- 使用不能なリソース: リソースが使用できることを確認します。

- 不正なリダイレクトURL: Oracle Access ManagementコンソールのリダイレクトURLを確認します。

6 Oracle Access Management Access Managerと統合するためのOracle Virtual Directoryの構成

この章では、Oracle Access Management Access Manager (Access Manager)と統合するためのOracle Virtual Directoryの構成方法について説明します。

この章では、次の項目について説明します。

- 第6.1項「Oracle Virtual Directoryのアダプタの作成および構成」

- 第6.2項「OAMPolicyControlプラグインの使用方法」

注意:

Oracle Virtual Directoryは、ほとんどのLDAP対応テクノロジとともに使用できます。この章では、一般的な統合を簡略化するOracle Virtual Directoryの機能を中心に説明します。

その他のOracle Virtual Directoryの統合に関しては、Oracleサポートに連絡してください。

6.1 Oracle Virtual Directoryのアダプタの作成および構成

Oracle Directory Services Managerの「クイック・コンフィギュレーション・ウィザード: Oracle Access Managerの設定」を使用して、Access Managerと統合するためにOracle Virtual Directoryを構成するには、次の手順を実行します。このウィザードは、必要なローカル・ストア・アダプタや、Access Managerが使用するデータ・リポジトリに適切なアダプタ・タイプ(LDAP、データベースまたはカスタム)を作成する手順を1つずつ説明します。

1. Oracle Directory Services Managerにログインします。

2. タスク選択バーで、「拡張」を選択します。拡張ナビゲーション・ツリーが表示されます。

3. 拡張ツリーの「クイック構成ウィザード」エントリを開きます。

4. ツリーで、「Oracle Access Managerの設定」をクリックします。「Oracle Access Managerの設定」画面が表示されます。

5. 「ローカル・ストア・アダプタ(LSA)の作成に使用されるネームスペース」フィールドにローカル・ストア・アダプタのネームスペースをDN形式入力し、「適用」をクリックします。「アダプタ」画面が表示されます。

6. Access Managerが使用するデータ・リポジトリに適したアダプタを作成します。手順は、次の項の1つを参照してください。

- 第6.1.1項「LDAPアダプタの作成および構成」

- 第6.1.2項「データベース・アダプタの作成および構成」

- 第6.1.3項「カスタム・アダプタの作成および構成」

7. Oracle Directory Services Managerのタスク選択バーから「アダプタ」を選択し、「アダプタ」ツリーで構成するアダプタの名前をクリックすることで、Access Managerが使用するデータ・リポジトリのアダプタを構成します。
各タイプのアダプタを構成する方法の詳細は、次の項を参照してください。

- 「LDAPアダプタの構成」

- 「データベース・アダプタの構成」

- カスタム・アダプタの構成

6.1.1 LDAPアダプタの作成および構成

この項では、Access ManagerのLDAPアダプタを作成および構成するための手順について説明します。

6.1.1.1 LDAPアダプタの作成

Access ManagerのLDAPアダプタを作成するには、『Oracle Fusion Middleware Oracle Virtual Directory管理者ガイド』のLDAPアダプタの作成に関する項を参照してください。

6.1.1.2 LDAPアダプタの構成

LDAPアダプタを作成した後、次の項で説明する手順を使用してそのアダプタを構成できます。

- LDAPアダプタの一般設定の構成

- SSLで保護されているLDAPアダプタの認証局の管理

注意:

LDAPアダプタの構成の詳細は、『Oracle Fusion Middleware Oracle Virtual Directory管理者ガイド』のLDAPアダプタの構成に関する項を参照してください。

6.1.1.2.1 LDAPアダプタの一般設定の構成

「アダプタ」ツリーでアダプタ名をクリックし、「一般」タブをクリックして次に示すフィールドに値を設定し、「適用」をクリックしてアダプタの一般設定を構成できます。

ルート

このフィールドには、アダプタが情報を提供するルートDNを定義します。定義されているDNとその下の子エントリには、アダプタのネームスペースが含まれます。このフィールドに入力する値は、戻されるエントリのベースDN値です。たとえば、このフィールドにdc=mydomain,dc=comと入力すると、すべてのエントリはdc=mydomain,dc=comで終わります。

アクティブ

アダプタは、アクティブ(有効)または非アクティブ(無効)として構成できます。非アクティブに構成されたアダプタは、サーバーの再起動時やアダプタの起動の試行時には起動しません。非アクティブの設定は、古い構成を使用可能な状態にしておく場合や、構成から削除せずにスタンバイ状態にしておく場合に使用します。デフォルト設定はアクティブ(有効)です。

LDAPサーバーの詳細

「一般」タブの「LDAPサーバー」表にプロキシLDAPホストの情報を構成するには、次の手順を実行します。各プロキシLDAPホストは、同等のコンテンツを提供するレプリカであることが必要です。

プロキシ設定するホストを1つのみ指定する場合は注意が必要です。フェイルオーバー・ホストがないと、LDAPアダプタは、自動的に別のホストにフェイルオーバーされません。単一のホストが適しているのは、Oracle Virtual Directoryがロード・バランシング・システムを使用して論理LDAPサービスに接続されている場合です。

注意:

「LDAPサーバー」表の情報は、「自動検出にDNSを使用」パラメータを「いいえ」に設定した場合にのみ使用されます。

アダプタにプロキシLDAPホストを追加するには、次のようにします。

1. 「ホストの追加」ボタンをクリックします。

2. 「ホスト」フィールドに、プロキシを設定するLDAPホストのIPアドレスまたはDNS名を入力します。

注意:

Oracle Virtual Directory 11gリリース2 (11.1.2.1.0)ではIPv6がサポートされています。ネットワークでIPv6がサポートされている場合、「ホスト」フィールドにリテラルIPv6アドレスを使用して、プロキシ設定されたLDAPホストを指定できます。

3. 「ポート」フィールドに、プロキシ設定されたLDAPホストが提供するLDAPサービスのポート番号を入力します。

4. パーセンテージ・フィールドに0から100の間の数値を入力し、ホストに送信する負荷率を構成します。アダプタに構成されたすべてのホストの統合したパーセンテージが合計で100にならない場合は、ホストに対して入力したパーセンテージを、アダプタに構成されているすべてのホストの合計パーセンテージで割ることで、Oracle Virtual Directoryにより負荷率が自動的に調整されます。たとえば、20パーセント、30パーセントおよび40パーセントの3つのホストがアダプタに構成されている場合、Oracle Virtual Directoryにより、20は22 (20/90)に、30は33 (30/90)に、40は44 (40/90)に調整されます。

5. 「読取り専用」オプションを選択し、LDAPホストでのみ検索操作を実行するようにLDAPアダプタを構成します。LDAPアダプタは、すべての変更トラフィックをリスト内の読取り/書込みホストに自動的に送ります。

アダプタからプロキシLDAPホストを削除するには、次のようにします。

1. 「リモート・ホスト」表で削除するホストの行をクリックします。

2. 「削除」ボタンをクリックします。確認用のダイアログ・ボックスが表示されます。

3. アダプタからプロキシLDAPホストを削除するには、「確認」をクリックします。

プロキシLDAPホストの接続を検証するには、次のようにします。

1. 接続を検証するホストの「リモート・ホスト」表の行をクリックします。

2. 「検証」ボタンをクリックします。プロキシLDAPホストへの接続は、そのLDAPホストのプロキシ設定をするアダプタに対して検証する必要があります。

SSL/TLSの使用

このオプションを有効化すると、SSL/TLSを使用して、LDAPアダプタとプロキシLDAPホスト間の通信を保護できます。

関連項目:

認証局の詳細は、「SSLで保護されているLDAPアダプタの認証局の管理」を参照してください。

SSL認証モード

「SSL/TLSの使用」オプションを選択(有効化)する場合、「SSL認証モード」リストからオプションを選択することで、アダプタをセキュリティで保護するために使用するSSL認証モードを選択します。「SSL認証モード」設定は、「SSL/TLSの使用」オプションが有効化されている場合にのみ機能します。

フェイルオーバー・モード

「順次」に設定すると、障害が発生しないかぎり、「LDAPサーバー」表に指定した最初のホストが使用されます。障害が発生した場合は、次のホストが試行されます。順次フェイルオーバーは、地域間のフェイルオーバーに使用されます。順次フェイルオーバーでは、LDAPアダプタは、障害が発生するまで指定されたホストの使用を試行します。この時点で、別のデータ・センターまたは遠隔地にある使用可能な同等のホストにフェイルオーバーします。

「分散」に設定すると、作成されるすべての新規接続は、「LDAPサーバー」表に定義されたリストを使用してロード・バランスされます。分散フェイルオーバーは、同じデータ・センターにある一連のLDAPホスト、またはネットワーク・パフォーマンスに関して同等に使用可能な一連のLDAPホストにプロキシ設定する場合に使用されます。

注意:

リモート・ホストのネットワークに障害が発生した場合は、プラットフォーム固有のTCPソケットのタイムアウト設定が原因で、Oracle Virtual Directoryに数分の遅延が発生する可能性があります。ただし、Oracle Virtual Directoryのフェイルオーバーは適切に実行されており、遅延中にデータが損失することはありません。

試行延長

このオプションは、ホストへの接続が失敗したことが判明しても、Oracle Virtual Directoryサーバーが、アダプタへの新規受信リクエストで、「LDAPサーバー」表にリストされた最後のホストへの接続を試行し続けるようにする場合に有効化します。有効化すると、ホストへの接続が失敗しても、そのホストは「LDAPサーバー」表から削除さず、アダプタの「ハートビート間隔」設定が無視されます。分散ディレクトリの存在する一部の環境では、その時点での結果の一部を迅速に戻すために、ルーティング・クリティカル設定とともに「試行延長」オプションを無効化する場合があります。デフォルト設定は「有効」です。

ハートビート間隔

LDAPアダプタでは、「LDAPサーバー」表に定義されている各ホストの可用性が定期的に検証されます。この検証サイクルでは、現在無効化されているホストが復活する可能性があるほか、TCP/IP接続のテストに失敗した現在アクティブなホストが「false」とラベル付けされます。「ハートビート間隔」パラメータは、検証通過の間隔を秒数で指定します。低すぎる値を設定すると、リモート・ディレクトリへの不要な接続が発生します。高すぎる値を設定すると、障害発生時のリカバリ検出時間が長くなります。本番環境では、この値を60秒から開始し、必要に応じて調整することをお薦めします。

操作タイムアウト

LDAPリクエストがリモート・ホストによって承認されるのをサーバーが待機する時間(ミリ秒単位)。この操作が失敗した場合、LDAPアダプタにより、「リモート・ホスト」表の次のサーバーが自動的に試行されます。構成可能な最小値は100です。低すぎる設定にすると、使用頻度の高いサーバーでエラーによる障害が発生することがあります。本番環境では、この値を5000 (5秒)から開始し、必要に応じて調整することをお薦めします。

最大プール接続数

単一のサーバーに確立できる同時接続数を制御するための、チューニング・パラメータです。本番環境では、この値を10接続から開始し、必要に応じて調整することをお薦めします。

最大プール待機数

LDAPアダプタによって新しい接続が生成される前に、既存の接続を使用するためにLDAP操作が待機する最大時間(ミリ秒単位)。本番環境では、この値を1000 (1秒)から開始し、必要に応じて調整することをお薦めします。

最大プール試行数

「最大プール接続数」パラメータをオーバーライドして新しい接続を生成する前に、LDAP接続のために操作が待機される最大回数。最大時間は、「最大プール待機数」の時間に試行回数を掛けた結果です。プール待機が1秒で試行の最大数が10回の場合、標準プールでLDAP接続が使用不可になってから10秒後に、増大した負荷の処理のためにプールが拡張されます。「最大プール接続数」を超過してプールが拡張されるのを回避するには、試行回数を高い数値に設定してください。本番環境では、この値を10から開始し、必要に応じて調整することをお薦めします。

Kerberosの使用

「Kerberosの使用」オプションを有効化する場合は、次の点に注意する必要があります。

Kerberos認証は資格証明の検証にのみ使用でき、その他の操作のためにバックエンド・サーバーに渡されることはないため、「パススルー」オプションは「バインドのみ」に設定する必要があります。

RDN値はKerberosプリンシパル名(Active Directoryの場合はsAMAccountName)と同一であることが必要です。つまり、KerberosバインドのバインドDNは実際のユーザーDNではありません。たとえば、ユーザーDNはcn=Jane Doe,cn=users,dc=mycompany,dc=comですが、sAMAccountNameはjdoeで、「Kerberosの使用」オプションが有効化されたバインドDNはcn=jdoe,cn=users,dc=mycompany,dc=comです。

krb5.confファイルを作成し、Oracle Virtual Directoryの構成フォルダ内に置く必要があります。krb5.confには次のプロパティがあります。

表6-1 krb5.confファイルのプロパティ

プロパティ

説明

default_realm

マッピングによって提供されていない場合に使用されるデフォルト・ドメインです。たとえば、あるユーザーがuid=jsmith,ou=people,dc=myorg,dc=comとしてバインドされると、jsmith@myorg.comとして処理されます。マップされたネームスペースにドメイン・コンポーネント(DC)ベースのルートが含まれていない場合は、かわりにこの値が置き換えられます。

domain_realm

ドメインとレルム定義との間のマッピングを定義します。(例: .oracle.com = ORACLE.COM)

realms

1つ以上のレルムを定義します(例: ORACLE.COM = {...})。

kdc

特定のレルム定義のKerberosサービスを実行するサーバーのDNS名です。

Kerberosバインドでは、標準のJavaパッケージに備わっているKerberosライブラリが使用されます。Kerberosライブラリでは、現状ではOracle Virtual DirectoryのLDAPアダプタ設定に同期していないkrb5.confファイルが使用されます。Kerberosのフェイルオーバーは、デフォルトのライブラリによって制御されます。フェイルオーバーおよびkrb5.confファイルの高度な構成の詳細は、Sun社のJavaドキュメントを参照してください。

注意:

Microsoft Active Directoryサーバーが停止(停止または再起動のいずれか)の処理中で、Oracle Virtual Directoryがそれへの接続を試行する場合、Active Directoryでは資格証明の検証が行われず、Key Distribution Center(ドメイン・コントローラ)の接続エラーではなく、Client not Found in Kerberos Databaseエラー・メッセージが戻されることがあります。

エンド・ユーザーは、Active Directoryサーバーが使用可能であるか、Key Distribution Centerのフェイルオーバーが有効化されているため、正常な認証が戻されると理解して再度ログインします。

Kerberosの再試行

「Kerberosの使用」オプションを有効化する場合、「Kerberosの再試行」オプションを使用して、認証の試行が失敗した後にOracle Virtual Directoryがログインを再試行するかどうかを制御できます。「Kerberosの再試行」オプションを有効化してあり、かつ認証に失敗した場合、Oracle Virtual Directoryによってkerb5.confファイルがリロードされ、ログインが再試行されます。

注意:

krb5.confファイルにおいて1つのKerberosレルムで複数のActive Directoryサーバーを識別している場合、「Kerberosの再試行」オプションを有効化しないでください。再試行を有効化すると、フェイルオーバー機能が損なわれることがあります。

自動検出にDNSを使用

「LDAPサーバー」表で特定のプロキシLDAPホストを構成するかわりに、このオプションを使用して、定義されているリモート・ベースの適切なLDAPサーバーの検出に、Oracle Virtual DirectoryでDNSを使用するように設定できます(サーバーレス・バインド・モードとも呼ばれます)。LDAPアダプタは、次に示す操作モードをサポートします。

- いいえ: サーバーレス・バインドではなく、「LDAPサーバー」表の構成を使用します。

- 標準: Microsoft以外のサーバーの標準DNS参照を使用します。すべてのサーバーは読取り/書込みとしてマーク付けされるため、LDAPの書込みサポートを許可するために「参照の追跡」設定を有効化することをお薦めします。

- Microsoft: DNSサーバーはMicrosoftの動的DNSであり、ロード・バランシング構成もサポートします。Microsoftの動的DNSサーバーに対してプロキシ設定する場合は、この設定をお薦めします。これは、Oracle Virtual Directoryの機能により、読取り専用サーバーと比較して読取り/書込みサーバーが自動検出されるためです。

注意:

この設定の使用時には、リモート・ベースにdc=myorg,dc=comなど、ドメイン・コンポーネントのスタイル名が指定されている必要があります。この名前により、Oracle Virtual Directoryで、myorg.comを検索してDNSサービス内のLDAPホストが検出されます。

「一般」タブの「設定」セクションには、次のフィールドが表示されます。

リモート・ベース

ローカルOracle Virtual Directoryのルート接尾辞に対応する、リモート・サーバーのディレクトリ・ツリー構造内の場所。これは、Oracle Virtual Directoryによって現在のアダプタのすべての検索および操作が実行される、リモート・ディレクトリ内の場所です。LDAPアダプタにより、リモート・ベースからアダプタ・ルート・ベースへの全エントリの自動マッピングが適用されます。

DN属性

member、uniquemember、managerなど、ネームスペース変換が必要なDNとして処理される属性のリスト。たとえば、これらの属性が「DN属性」リストにある場合、プロキシ・ディレクトリからのグループ・エントリを読み取る際には、Oracle Virtual Directoryでuniquememberまたはmember属性だけでなく、グループ・エントリ自体のDNが自動的に変換されます。

注意:

クライアント・アプリケーションで使用する必要があるとわかっている属性のみを変換します。可能性のあるすべてのDN属性を入力する必要はありません。入力すると、プロキシで消費されるCPU時間が少し増加します。

「DN属性」リストに属性を追加するには、次のようにします。

1. 「追加」をクリックします。「DN属性の選択」ダイアログ・ボックスが表示されます。

2. 追加する属性を選択します。

3. 「OK」をクリックします。

エスケープ・スラッシュ

ディレクトリに/文字が含まれる場合、Oracle Virtual Directoryでは、円記号の\を使用して、オプションでスラッシュをエスケープできます。スラッシュをエスケープせずに使用できるディレクトリ・サーバー製品と、そうでない製品があります。この設定を有効化すると、スラッシュがエスケープされます。

参照の追跡

この設定を有効化すると、クライアントのかわりにソース・ディレクトリから受信した参照がLDAPアダプタにより追跡されます。無効化すると、参照はブロックされ、クライアントに戻されません。

次に、LDAP操作設定の管理対象DSAコントロールの送信と関連した異なる設定のときのLDAPアダプタの動作の概要を示します。

- LDAPアダプタの「参照の追跡」が有効(true)に設定され、かつLDAP操作の管理対象DSAコントロールの送信が「True」に設定されている場合、Oracle Virtual Directoryは参照エントリを追跡しませんが、クライアントに戻します。

- LDAPアダプタの「参照の追跡」が有効(true)に設定され、LDAP操作の管理対象DSAコントロールの送信が「False」に設定されている場合、Oracle Virtual Directoryは参照エントリを追跡しません。

- LDAPアダプタの「参照の追跡」が無効(false)に設定され、LDAP操作の管理対象DSAコントロールの送信が「True」に設定されている場合、Oracle Virtual Directoryは参照エントリを追跡しませんが、クライアントに戻します。

- LDAPアダプタの「参照の追跡」が無効(false)に設定され、かつLDAP操作の管理対象DSAコントロールの送信が「False」に設定されている場合、Oracle Virtual Directoryは参照エントリを追跡せず、クライアントにも戻しません。

プロキシ設定されたページ・サイズ

この設定を有効化すると、プロキシでPaged Result Controlをプロキシ設定されたディレクトリに使用できます。この設定は、ディレクトリで問合せの結果数を制限する場合に最もよく有効化されます。この設定は、Oracle Virtual Directoryのクライアントのかわりに透過的に使用されます。

「一般」タブの「資格証明の処理」セクションには、次のフィールドが表示されます。

プロキシDN

プロキシ設定されたディレクトリにアクセスする際に、LDAPアダプタがバインドするデフォルトのDN。「パススルー・モード」設定に応じて、このDNは、すべての操作で使用されるか、パススルー・モードのような特別な場合にのみ使用されます。識別名の書式は、リモート・ディレクトリの書式に合せる必要があります。空の値は匿名とみなされます。

プロキシ・パスワード

「プロキシDN」値とともに使用される認証パスワード。パスワードを設定するには、値をクリアテキストで入力します。サーバーにロードされると、追加のセキュリティを提供するために、可逆的なマスクを使用して値が自動的にハッシュされます(例: {OMASK}jN63CfzDP8XrnmauvsWs1g==)。

パススルー・モード

すべての操作で、Oracle Virtual Directoryに示されたユーザー資格証明をプロキシ設定されたLDAPサーバーに渡す場合は、「常時」に設定します。バインド用にのみユーザー資格証明をプロキシ設定されたLDAPサーバーに渡し、その他のすべての操作でデフォルトのサーバー資格証明を使用する場合は、「バインドのみ」に設定します。プロキシDN資格証明をすべての操作で使用する場合は、「なし」に設定します。

注意:

状況によっては、「パススルー・モード」が「常時」に設定されていても、LDAPアダプタによってプロキシDNが使用される場合があります。これは、別のアダプタ・ネームスペースなどからユーザー資格証明をマップできない場合や、ユーザー資格証明がルート・アカウントの場合に発生します。

Microsoft Active Directoryフォレスト内の異なるドメイン・コントローラに複数のアダプタを定義する場合は、バインドを含むルーティング設定を使用して、LDAPアダプタが他のアダプタ(同じActive Directoryフォレストを指す複数のアダプタ)からの資格証明にプロキシを設定するように指定できます。

「一般」タブの「pingプロトコルの設定」セクションには、次のフィールドが表示されます。

「pingプロトコルの設定」には、応答していないソースLDAPディレクトリ・サーバーがいつ使用可能になるのかを判別する方法に関するオプションがあります。複数のソース・ディレクトリ・サーバーが構成されている場合、Oracle Virtual Directoryによって応答していないサーバーが識別され、次に使用可能なサーバーに対して後続の操作が実行されます。

pingプロトコル

ソース・ディレクトリ・サーバーにpingする際にOracle Virtual Directoryが使用するプロトコルとして「TCP」または「LDAP」のいずれかを選択します。ソース・ディレクトリ・サーバーがSSLを使用している場合は、「LDAP」を選択します。

注意:

「TCP」プロトコル・オプションは「LDAP」オプションよりも高速ですが、ソース・ディレクトリ・サーバーのネットワーク・ソケットが使用可能であるがそのLDAPサーバー・プロセスを使用できない場合にソース・ディレクトリ・サーバーから不正確なレスポンスが作成されることがあります。

pingバインドDN

「pingプロトコル」として「LDAP」を選択した場合は、そのLDAPバインドに使用するDNを指定します。

pingバインド・パスワード

「pingプロトコル」として「LDAP」を選択した場合は、「pingバインドDN」設定で指定したDNのパスワードを指定します。

6.1.1.2.2 SSLで保護されているLDAPアダプタの認証局の管理

Oracle Virtual DirectoryからLDAPアダプタのSSLポートへのSSL接続が失敗し、次のメッセージが表示される場合があります。

Oracle Virtual Directory could not load certificate chain

次に、これが発生する2つの状況の例を示します。

- SSLで保護されている新規LDAPアダプタを作成し、信頼されない認証局を使用した場合

- SSLで保護されている既存のLDAPアダプタの証明書の期限が切れていて、新しい証明書が信頼されない認証局により署名されている場合

この問題を解決するには、証明書を信頼できることをOracle Virtual Directoryが認識できるように、LDAPサーバーの証明書、およびLDAPサーバーの証明書の署名に使用されたルート認証局の証明書の両方を、Oracle Virtual Directoryサーバーにインポートします。

次のkeytoolコマンドと適切な別名をすべて1つのコマンドラインで使用します。

ORACLE_HOME/jdk/jre/bin/keytool -import -trustcacerts
-alias "NEW_CA" -file PATH_TO_CA_CERTIFICATE
-keystore ORACLE_INSTANCE/config/OVD/ovd1/keystores/adapters.jks

Microsoft Active DirectoryおよびMicrosoft Certificate ServicesとのLDAPアダプタの使用

デフォルトでは、期限切れのActive Directory SSL証明書はMicrosoft Certificate Servicesによって自動的に更新されます。ただし、通常、この変更がクライアント・アプリケーションに自動的に通知されることはありません。これが行われた場合、更新されたActive Directoryサーバーに接続しているOracle Virtual Directory LDAPアダプタは機能を停止します。その場合は、Oracle Directory Services Managerを使用してLDAPアダプタを構成し、信頼できる証明書をインポートするとアダプタが再び機能するようになります。

6.1.2 データベース・アダプタの作成および構成

この項では、Access Manager用のデータベース・アダプタの作成および構成方法について説明します。

6.1.2.1 データベース・アダプタの作成

Access Managerのデータベース・アダプタを作成するには、『Oracle Fusion Middleware Oracle Virtual Directory管理者ガイド』のデータベース・アダプタの作成に関する項を参照してください。

6.1.2.2 データベース・アダプタの構成

データベース・アダプタを作成したら、「アダプタ」ツリーでアダプタ名をクリックし、「一般」タブをクリックして次に示すフィールドに値を設定し、「適用」をクリックしてアダプタの一般設定を構成できます。

注意:

LDAPアダプタの構成の詳細は、『Oracle Fusion Middleware Oracle Virtual Directory管理者ガイド』のデータベース・アダプタの構成に関する項を参照してください。

ルート

このフィールドには、アダプタが情報を提供するルートDNを定義します。定義されているDNとその下の子エントリには、アダプタのネームスペースが含まれます。このフィールドに入力する値は、戻されるエントリのベースDN値です。たとえば、このフィールドにdc=mydomain,dc=comと入力すると、すべてのエントリはdc=mydomain,dc=comで終わります。

アクティブ

アダプタは、アクティブ(有効)または非アクティブ(無効)として構成できます。非アクティブに構成されたアダプタは、サーバーの再起動時やアダプタの起動の試行時には起動しません。非アクティブの設定は、古い構成を使用可能な状態にしておく場合や、構成から削除せずにスタンバイ状態にしておく場合に使用します。デフォルト設定はアクティブです。

「一般」タブの「接続の設定」セクションには、次のフィールドが表示されます。

URLタイプ

次の「URLタイプ」リストからオプションを1つ選択します。データベース・アダプタ接続設定の一部のフィールドは、選択するオプションによって異なります。オプションを選択したら、各オプションにリストされているフィールドを設定して、「接続の設定」の構成を続行します。

- カスタムURLの使用: このオプションは、Oracle Virtual Directoryをカスタム・データベースに接続する場合に選択します。

- 「JDBCドライバ・クラス」フィールドに、データベースのJDBCドライバ・クラスの名前を入力します。

- 「データベースURL」フィールドに、Oracle Virtual Directoryがデータベースへのアクセスに使用するURLを入力します。

- 「データベース・ユーザー」フィールドに、データベース・アダプタがデータベースへの接続に使用するユーザー名を入力します。

- 「パスワード」フィールドに、「データベース・ユーザー」フィールドに入力したユーザー名のパスワードを入力します。このフィールドに入力する値は、起動時にOracle Virtual Directoryにより、可逆的にマスクされた値に置き換えられます。

- 事前定義済データベースの使用: このオプションは、事前定義済データベースに接続する場合に選択します。事前定義済データベースは、「URLタイプ」リストから「事前定義済データベースの使用」を選択した後に「データベース・タイプ」リストに表示されます。使用するデータベース・タイプがOracle Virtual Directoryに事前に定義されているか不明な場合は、「URLタイプ」リストから「事前定義済データベースの使用」を選択し、使用するデータベースが「データベース・タイプ」リストに含まれているかどうかを確認します。「データベース・タイプ」リストにデータベースがリストされている場合は、次の手順に進みます。データベースがリストされていない場合は、「URLタイプ」リストから「カスタムURLの使用」を選択し、カスタムURLを使用する場合の手順を実行します。

- 「データベース・タイプ」リストから、データベース・タイプを選択します。データベース・タイプを選択すると、「JDBCドライバ・クラス」および「データベースURL」フィールドにデータベースの適切な情報が移入されます。

- 「ホスト」フィールドに、データベースのIPアドレスまたはDNSホスト名を入力します。

- 「ポート」フィールドに、データベースがリスニングするポート番号を入力します。

- 「データベース名」フィールドに、Oracle SIDなどのデータベース名を入力します。

- 「データベース・ユーザー」フィールドに、データベース・アダプタがデータベースへの接続に使用するユーザー名を入力します。

- 「パスワード」フィールドに、「データベース・ユーザー」フィールドに入力したユーザー名のパスワードを入力します。このフィールドに入力する値は、起動時にOracle Virtual Directoryにより、可逆的にマスクされた値に置き換えられます。

「一般」タブの「設定」セクションには、次のフィールドが表示されます。

Objectclassの変更の無視

データベースのオブジェクト・クラスは論理オブジェクトであり、マッピングで表の列に直接マップされないため、オブジェクト・クラス属性を変更するとエラーが発生することがあります。「Objectclassの変更の無視」オプションが有効化されている場合、データベース・アダプタによってオブジェクト・クラス属性の参照がすべて削除され、エラーはクライアント・アプリケーションに送信されず、無視されます。「Objectclassの変更の無視」オプションが選択されていない場合、エラー・メッセージはクライアント・アプリケーションに送信されます。

オブジェクト・クラスのスーパー・クラスを含む

この設定を使用すると、データベース・アダプタにより、オブジェクト・クラス属性のメインのオブジェクト・クラスとともに、オブジェクト・クラスの親クラスもリストされます。Microsoft Active Directoryサーバーのスキーマをエミュレートする場合には、この設定を無効化します。objectclass=xxxという問合せが親のオブジェクト・クラス値に対して実行されるため、ほとんどのシナリオで、この設定を有効化しておくと便利です。

大/小文字区別なしの検索の有効化

「大/小文字区別なしの検索の有効化」オプションを有効化(選択)すると、uidなどの大/小文字の区別のないLDAP属性が、大/小文字区別なしで検索されます。Oracle Virtual Directoryは、「大/小文字区別なしの検索の有効化」オプションが有効な場合、SQL問合せのUPPERを使用します。データベースが、Oracle TimesTenデータベースまたはMySQLデータベースなどの機能別索引を保持できない場合は、「大/小文字区別なしの検索の有効化」オプションを無効にする必要があります。「大/小文字区別なしの検索の有効化」オプションを無効にすると、Oracle Virtual Directoryは大/小文字を区別して検索を実行し、SQL問合せのUPPERを使用しません。「大/小文字区別なしの検索の有効化」オプションのデフォルト値は、「有効」有効です。

最大接続数

この設定は、データベース・アダプタがデータベースに作成する最大接続数を定義します。

接続待機タイムアウト

この設定は、データベースとの接続の確立中、タイムアウトするまでにデータベース・アダプタが待機する期間(秒単位)を定義します。

「一般」タブの「DB/LDAPマッピング」セクションには、次のフィールドが表示されます。

使用データベース表

このフィールドには、データベース・アダプタが使用するように設定されているデータベース表が表示されます。データベース表を追加するには、「追加」ボタンをクリックし、表ファイルに移動して選択し、「OK」をクリックします。

「一般」タブの「オブジェクト・クラス」セクションには、次のフィールドが表示されます。

オブジェクト・クラス

このフィールドには、データベース表にマップするオブジェクト・クラスとそのRDNが表示されます。オブジェクト・クラス・マッピングを追加するには、「作成」ボタンをクリックして「オブジェクト・クラス」リストから適切なオブジェクト・クラスを選択し、「RDN」フィールドにそのオブジェクト・クラスのRDN値を入力して「OK」をクリックします。

注意:

データベース・アダプタの構成の詳細は、『Oracle Fusion Middleware Oracle Virtual Directory管理者ガイド』のデータベース・アダプタの構成に関する項を参照してください。

6.1.3 カスタム・アダプタの作成および構成

この項では、Access Manager用のカスタム・アダプタの作成および構成方法について説明します。

6.1.3.1 カスタム・アダプタの作成

Access Managerのカスタム・アダプタを作成するには、『Oracle Fusion Middleware Oracle Virtual Directory管理者ガイド』のカスタム・アダプタの作成に関する項を参照してください。

6.1.3.2 カスタム・アダプタの構成

カスタム・アダプタを作成したら、「アダプタ」ツリーでアダプタ名をクリックし、「一般」タブをクリックして次に示すフィールドに値を設定し、「適用」をクリックしてアダプタの一般設定を構成できます。

注意:

LDAPアダプタの構成の詳細は、『Oracle Fusion Middleware Oracle Virtual Directory管理者ガイド』のカスタム・アダプタの構成に関する項を参照してください。

ルート

このフィールドには、アダプタが情報を提供するルートDNを定義します。定義されているDNとその下の子エントリには、アダプタのネームスペースが含まれます。このフィールドに入力する値は、戻されるエントリのベースDN値です。たとえば、このフィールドにdc=mydomain,dc=comと入力すると、すべてのエントリはdc=mydomain,dc=comで終わります。

アクティブ

アダプタは、アクティブ(有効)または非アクティブ(無効)として構成できます。非アクティブに構成されたアダプタは、サーバーの再起動時やアダプタの起動の試行時には起動しません。非アクティブの設定は、古い構成を使用可能な状態にしておく場合や、構成から削除せずにスタンバイ状態にしておく場合に使用します。デフォルト設定はアクティブです。

6.2 OAMPolicyControlプラグインの使用方法

注意:

この項は、依然としてOracle Access Manager 10gを実行しているお客様にのみ関連します。OAMPolicyControlプラグインは、Access Manager 11gでは機能しません。

Oracle Virtual Directoryは、認証のためにLDAPを使用していて、Access Managerポリシー制御を使用する必要があるがAccess Managerと統合できないアプリケーションに対してOracle Virtual Directory-Access Manager統合を簡素化するOAMPolicyControlプラグインを提供します。

OAMPolicyControlプラグインをデプロイする前に、次のことが必要です。

- Access Managerポリシー構成を使用しているLDAPアダプタすべてについて、「バインド」パススルー設定を「なし」に設定します。
このプラグインは、すべての認証を処理し、プロキシ資格証明を使用してすべての操作を実行します。

- Access Managerに対して別のアダプタを構成します。
これらのアダプタは、Access Managerポリシーを使用するには、OAMPolicyControlプラグインを使用する必要があります。これらのアダプタを同じOracle Virtual Directoryサーバーにデプロイする場合は、次のオプションのいずれかを構成する必要があります。

- アダプタごとに異なるLDAPネームスペースを使用します。Access Managerのアダプタのネームスペースは、汎用LDAPクライアントが使用するネームスペースから独立したものにする必要があります。

- 「Oracle Virtual Directory」ビューを、別のAccess Managerアダプタに対するリクエストを区別するアクセス・レベルの基準を指定して使用します。

- 次のようにしてAccess Manager Access Serverを構成します。

- Oracle Virtual Directoryに対応するプロキシ・リソースを作成します。

- アイデンティティ・サーバーおよびアクセス・サーバー用のポリシー・ドメインを無効化します。これは、このプラグインがOBSSO Cookieをキャッシュしないためです。

- AccessSDKを次のように構成します。

- AccessServerSDK\oblix\tools\configureAccessGateを使用して、Access Manager Access Server用にAccessSDKインストールを構成します。

- -Djava.library.pathがAccessSDKインストールを指すようにすることで、Oracle Virtual Directoryコンポーネントを起動するようにopmnを構成します。
INSTANCE_HOME/config/OPMN/opmn/opmn.xmlファイルを次のように編集します。

<ias-component id="ovd1">
<process-type id="OVD" module-id="OVD">
<module-data>
<category id="start-options">
<data id="java-bin" value="$ORACLE_HOME/jdk/bin/java"/>
<data id="java-options" value="-server -Xms512m -Xmx512m
-Dvde.soTimeoutBackend=0
-Doracle.security.jps.config=$ORACLE_
INSTANCE/config/JPS/jps-config-jse.xml
-Djava.library.path=AccessSDK_install_
dir/AccessSDK/AccessServerSDK/oblix/lib/"/>
<data id="java-classpath" value="$ORACLE_
HOME/ovd/jlib/vde.jar$:$ORACLE_HOME/jdbc/lib/ojdbc6.jar"/>
</category>
</module-data>
<stop timeout="120"/>
</process-type>
</ias-component>

- AccessSDK_install_dir/AccessServerSDK/oblix/libからORACLE_HOME/ovd/plugins/libにjobaccess.jarファイルをコピーします。

注意:

前述の前提条件となる構成を正常に完了しないと、Oracle Virtual DirectorによってNoClassDefFoundエラーが生成されます。

6.2.1 構成パラメータ

OAMPolicyControlプラグインには、次の構成パラメータがあります。

注意:

useAccessAuthPolicyを除く次のすべての構成パラメータが、OAMPolicyControlプラグインのデプロイに必要です。

resourceIdOVD

Access Managerサーバーによって構成されるOracle Virtual Directory用のプロキシ・リソースを指定します。たとえば、//host:port/ovd_proxy_resourceなどです。

identityproxyid

identityproxyidパラメータは、アイデンティティ・サーバーに対する認証に使用され、管理者のusernameAttributeの値を指定します。

install_dir

必須ライブラリを含むAccessSDKインストール・ディレクトリを指定します。たとえば、AccessSDK_INSTALL_DIRECTORY/AccessServerSDK/などです。

OrclOVDEncryptedproxypasswd

アイデンティティ・サーバーに対する認証用の管理者パスワード。

identityEndpointAddress

アイデンティティ・サーバーのum_modifyUser Webサービスのリスニング・エンドポイントに対応するURLを指定します。たとえば、http://host:port/identity/oblix/apps/userservcenter/bin/userservcenter.cgiなどです。

usernameAttribute

アイデンティティ・サーバーのログイン属性となるように構成される属性を指定します。たとえば、uidやgenUserIdです。

useAccessAuthPolicy

useAccessAuthPolicyは、オプションの大文字小文字を区別しないパラメータであり、プロキシ・リソースにアクセスする際のAccess Managerサーバーの認証ポリシーの使用方法を決定します。サポートされている値はTrueおよびFalseです。デフォルト設定はFalseです。

7 Access ManagerとOracle Identity Managerの統合

この章では、Oracle Access Management Access Manager (Access Manager)、Oracle Identity Manager、Oracle Virtual DirectoryおよびOracle Internet Directoryを統合する方法について説明します。次の構成手順は、第1章「概要」で説明したとおり、これらのコンポーネントが単一ノード・トポロジにインストールされていることを前提としています。

Access ManagerとOracle Identity Managerをエンタープライズ・デプロイメント用に統合する場合は、『Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド』を参照してください。

この統合例で説明してるコンポーネントのインストール方法の詳細は、Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイドを参照してください。

注意:

この章の手順では、Oracle Internet Directoryがアイデンティティ・ストアとして構成され、Oracle Virtual Directoryがフロントエンドとなってデータ・ソースを仮想化していることを前提としています。他のコンポーネント構成も可能です。サポートされている構成の詳細は、Oracle Technology Networkにあるシステム要件と動作保証情報のドキュメントを参照してください。

この章では、次の内容を説明します。

- 第7.1項「統合について」

- 第7.2項「統合ロードマップ」

- 第7.3項「統合の要件」

- 第7.4項「アイデンティティ・ストアの構成」

- 第7.5項「統合のためのAccess Managerの構成」

- 第7.6項「Access ManagerとOracle Identity Managerの統合」

- 第7.7項「OIM上のリソースをフロントエンドするためのOracle HTTP Serverの構成」

- 第7.8項「ドメイン・エージェントが削除された状態でのサーバーの起動」

- 第7.9項「追加の構成タスク」

- 第7.10項「統合の検証」

- 第7.11項「統合のテスト」

- 第7.12項「一般的な問題のトラブルシューティング」

7.1 統合について

この統合シナリオにより、Identity Managerでアイデンティティを管理し、Oracle Access Managerでリソースへのアクセスを制御できるようになります。Oracle Identity Managerは、ユーザー・アカウント管理を自動化する、ユーザーのプロビジョニングおよび管理ソリューションです。一方、Access Managerは集中管理された自動シングル・サインオン(SSO)ソリューションです。

Access Managerでは、ポリシーおよび構成データ用にデータベースを使用し、アイデンティティ・データ用に単一ディレクトリを使用します。この構成シナリオでは、Oracle Virtual Directoryが、単一のディレクトリ・サーバー、すなわちOracle Internet Directoryのフロントエンドとなっていることを前提としています。

Identity Managementコンポーネントは、単一のWebLogic Serverドメインにデプロイできます。これは開発環境やテスト環境の場合に便利です。クロス・ドメイン(分割ドメインとも呼ばれる)デプロイメント(Access ManagerとOracle Identity Managerが異なるWebLogic Serverドメインにインストールされる)になるようにコンポーネントを構成することもできます。

Access ManagerとOracle Identity Managerが統合されている場合のパスワード管理フローの詳細は、第1.5.3項「パスワード管理シナリオ」を参照してください。

7.2 統合ロードマップ

表7-1は、Access ManagerおよびOracle Identity ManagerをOracle Virtual DirectoryおよびOracle Internet Directoryと統合するための大まかなタスクをリストしたものです。

表7-1 Oracle Access ManagerとOracle Identity Managerの統合フロー

番号

タスク

情報

1

統合の前に必要なすべてのコンポーネントがインストールおよび構成されていることを確認します。

詳細は、「統合の要件」を参照してください。

2

Oracle Identity Managerに対してLDAP同期を有効にします。

詳細は、次のものを参照してください。

- OIMサーバーの構成に関する項

- LDAP同期を有効にするための前提条件の実行に関する項および

- Oracle Virtual Directoryでのアダプタの作成に関する項

(すべて『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』内)

Oracle Identity Managerの詳細は、表7-2「統合シナリオに必要なコンポーネント」を参照してください。

3

スキーマを拡張することによってアイデンティティ・ストアを構成します。

詳細は、「Access Manager用のディレクトリ・スキーマの拡張」を参照してください。

4

Access Managerにより必要とされるユーザーでアイデンティティ・ストアを構成します。

詳細は、「Access Manager用のユーザーおよびグループの作成」を参照してください。

5

Oracle Identity Managerにより必要とされるユーザーでアイデンティティ・ストアを構成します。

詳細は、「Oracle Identity Manager用のユーザーおよびグループの作成」を参照してください。

6

Oracle WebLogic Serverにより必要とされるユーザーでアイデンティティ・ストアを構成します。

詳細は、「Oracle WebLogic Server用のユーザーおよびグループの作成」を参照してください。

7

OVDユーザーおよび変更ログ・アダプタを編集し、oamEnabledパラメータをtrueに設定します。

詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Virtual Directoryでのアダプタの作成に関する項を参照してください。

Oracle Virtual Directoryの詳細は、表7-2「統合シナリオに必要なコンポーネント」を参照してください。

8

Access ManagerおよびOracle Identity ManagerのOracle WebLogic Server管理対象サーバーを停止します。

詳細は、『Oracle Fusion Middleware管理者ガイド』のOracle WebLogic Serverインスタンスの起動および停止に関する項を参照してください。

9

Oracle Identity ManagerをサポートするようにAccess Managerを拡張します。

詳細は、「統合のためのAccess Managerの構成」を参照してください。

10

Access ManagerとOracle Identity Managerを統合します。

詳細は、「Access ManagerとOracle Identity Managerの統合」を参照してください。

11

11g OAMサーバーを指すように、OHSサーバーでWebゲートを構成します。

詳細は、「OIM上のリソースをフロントエンドするためのOracle HTTP Serverの構成」を参照してください。

12

IDMドメイン・エージェントを削除し、Oracle WebLogic Serverの管理サーバーおよび管理対象サーバーを起動します。

詳細は、「ドメイン・エージェントが削除された状態でのサーバーの起動」を参照してください。

13

統合をテストします。

詳細は、「統合のテスト」を参照してください。

14

環境に応じて、ドメイン・エージェントをOHS 10g Webゲートに移行します。

詳細は、「ドメイン・エージェントから10g WebゲートおよびOHS 11gへの移行」を参照してください。

15

環境に応じて、SOAサーバーのデフォルト・コンポジットを更新します。

詳細は、「すぐに使用できるSOAサーバー・コンポジットの更新」を参照してください。

7.3 統合の要件

Access ManagerをOracle Identity Managerとともに構成する前に、この項にリストされている必須コンポーネント(依存関係を含む)をインストールし、環境を構成する必要があります。統合トポロジの詳細は、第1.2項「統合トポロジ」を参照してください。

注意:

インストール情報については、次の文献の手順に従います。

- Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・プランニング・ガイド

表7-2は、Access ManagerおよびOracle Identity Managerの統合タスクを実行する前にインストールおよび構成する必要のあるコンポーネントをリストしたものです。

表7-2 統合シナリオに必要なコンポーネント

コンポーネント

情報

Oracleデータベース

詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』を参照してください。

Oracle WebLogic Server 10.3.6

詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』を参照してください。

『Oracle Fusion Middleware Installation Guide for Oracle WebLogic Server』

Repository Creation Utility (RCU)

Oracle Fusion Middlewareリポジトリ作成ユーティリティ(RCU)はOracle Technology Network (OTN) Webサイトで入手できます。RCUの使用方法の詳細は、『Oracle Fusion Middleware Repository Creation Utilityユーザーズ・ガイド』を参照してください。

注意: 一部のOracle Identity and Access Managementコンポーネントをインストールする前に、必要なすべてのスキーマを作成する必要があります。詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』を参照してください。

Access Manager

詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Identity and Access Managementのインストールに関する項およびAccess Managerの構成に関する項を参照してください。

11g Webゲートまたは10g Webゲートを含むOracle HTTP Server

詳細は、『Oracle Fusion Middleware WebGates for Oracle Access Managerのインストール』のOAMのためのOracle HTTP Server 11g Webゲートのインストールと構成に関する項を参照してください。

Access Managerとの統合が完了した後で、Oracle Identity Manager管理ページが正しく起動されるように、OHSプロファイルを更新する必要があります。詳細は、「OIM上のリソースをフロントエンドするためのOracle HTTP Serverの構成」を参照してください。

Oracle Identity Manager

詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Identity and Access Managementのインストールと構成に関する項およびOracle Identity Managerの構成に関する項を参照してください。

注意: Oracle Identity Managerの構成の際、LDAPディレクトリをアイデンティティ・ストアとして使用するには、あらかじめこれを構成する必要があります。LDAP同期の有効化の要件を含め、すべてのインストール指示に従ってください。詳細は、次のドキュメントを参照してください。

- OIMサーバーの構成に関する項

- LDAP同期を有効にするための前提条件の実行に関する項および

- Oracle Virtual Directoryでのアダプタの作成に関する項

(すべて『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』内)

注意: Oracle Identity Managerのインストール時に、wlfullclient.jarを作成する必要があります。このファイルは統合手順を実行する前に存在している必要があります。慎重にインストール手順に従ってください。

Oracle Virtual Directory

詳細は、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』のOracle Virtual Directoryの構成に関する項を参照してください。

Oracle Virtual Directoryをアイデンティティ・ストアとともに使用し始める前に、使用する各ディレクトリのアダプタを作成する必要があります。この統合シナリオでは、アダプタごとにoamEnabledパラメータをtrueに設定する必要があります。詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Virtual Directoryでのアダプタの作成に関する項を参照してください。

Oracle Internet Directory

詳細は、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』のOracle Internet Directoryの構成に関する項を参照してください。

Oracle SOA Suite

詳細は、『Oracle Fusion Middleware Oracle SOA Suite and Oracle Business Process Management Suiteインストレーション・ガイド』を参照してください。

7.4 アイデンティティ・ストアの構成

アイデンティティ・ストアは、Access Manager、Oracle Identity ManagerおよびOracle WebLogic Serverで使用できるように構成する必要があります。必要なユーザーおよびグループがシードされる必要があります。

この項の内容は次のとおりです。

- Access Manager用のディレクトリ・スキーマの拡張

- Access Manager用のユーザーおよびグループの作成

- Oracle Identity Manager用のユーザーとグループの作成

- Oracle WebLogic Server用のユーザーおよびグループの作成

7.4.1 Access Manager用のディレクトリ・スキーマの拡張

idmConfigToolを使用して、Oracle Internet Directoryでスキーマを拡張するようアイデンティティ・ストアを構成します。idmConfigToolコマンドの詳細は、第2章「idmConfigToolコマンドの使用方法」を参照してください。

1. idmconfigtoolに必要な環境変数を設定します。詳細は、第2.2項「環境変数の設定」を参照してください。

2. たとえばextendOAMPropertyFileなどの名前のプロパティ・ファイルを、次のような内容で作成します。

IDSTORE_HOST: idstore.example.com
IDSTORE_PORT: 389
IDSTORE_BINDDN: cn=orcladmin
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_USERSEARCHBASE: cn=Users,dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=example,dc=com
IDSTORE_SEARCHBASE: dc=example,dc=com
IDSTORE_SYSTEMIDBASE: cn=systemids,dc=example,dc=com

説明:

- IDSTORE_HOSTおよびIDSTORE_PORTは、それぞれアイデンティティ・ストア・ディレクトリのホストおよびポートです。Oracle Internet Directoryにアイデンティティ・ストアがある場合は、その前面にOracle Virtual Directoryを配置していても、IDSTORE_HOSTがOracle Internet Directoryを指している必要があります。
Oracle Internet Directory以外のディレクトリを使用している場合は、Oracle Virtual Directoryホスト(IDSTORE.example.comになります)を指定します。

- IDSTORE_BINDDNは、アイデンティティ・ストア・ディレクトリの管理ユーザーです。

- IDSTORE_USERNAMEATTRIBUTEは、アイデンティティ・ストア内のユーザーの設定および検索に使用されます。このプロパティは、ユーザーDNの一部に設定する必要があります。たとえば、ユーザーDNがcn=orcladmin,cn=Users,dc=us,dc=example,dc=comの場合、このプロパティをcnに設定する必要があります。

- IDSTORE_LOGINATTRIBUTEは、ユーザーのログイン名を含むアイデンティティ・ストアのログイン属性です。これは、ユーザーがログインに使用する属性です(たとえば、uid、email)。

- IDSTORE_USERSEARCHBASEは、ユーザーを格納するディレクトリ内の場所に設定する必要があります。このプロパティは、ユーザーを検索するディレクトリを示します。

- IDSTORE_GROUPSEARCHBASEは、グループ(またはロール)を格納するディレクトリ内の場所に設定する必要があります。このプロパティは、グループまたはロールを検索するディレクトリを示します。

- IDSTORE_SEARCHBASEは、ユーザーおよびグループを格納するディレクトリ内の場所に設定する必要があります。このプロパティは、USERSEARCHBASEおよびGROUPSEARCHBASEを含む親の場所です。
次に例を示します。

IDSTORE_SEARCHBASE: cn=oracleAccounts, dc=example,dc=com
IDSTORE_USERSEARCHBASE: cn=Users,cn=oracleAccounts,dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,cn=oracleAccounts,dc=example,dc=com

- IDSTORE_SYSTEMIDBASEは、システム処理ユーザーを、メイン・ユーザー・コンテナに格納されているエンタープライズ・ユーザーと分離されるように格納するディレクトリ内のコンテナの場所です。システム処理ユーザーは限られています。その一例としてOracle Virtual DirectoryアダプタのバインドDNユーザーにも使用されるOracle Identity Managerリコンシリエーション・ユーザーがあげられます。

3. 次の場所にあるidmConfigToolコマンドを-preConfigIDStoreを指定して使用し、アイデンティティ・ストアを構成します。

IAM_ORACLE_HOME/idmtools/bin

-preConfigIDStoreコマンドは、Oracle Internet Directory、Oracle Unified DirectoryおよびOracle Virtual Directoryをサポートします。

Linuxの場合、このコマンドの構文は次のとおりです。

idmConfigTool.sh -preConfigIDStore input_file=configfile

Windowsの場合、このコマンドの構文は次のとおりです。

idmConfigTool.bat -preConfigIDStore input_file=configfile

このコマンドを実行すると、アイデンティティ・ストアへの接続に使用するアカウントのパスワードを入力するように要求されます。

Oracle Virtual Directoryに対して実行した場合のコマンド出力例:

Enter ID Store Bind DN password:
May 25, 2011 2:37:18 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/oid/idm_idstore_groups_template.ldif
May 25, 2011 2:37:18 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/oid/idm_idstore_groups_acl_template.ldif
May 25, 2011 2:37:18 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/oid/systemid_pwdpolicy.ldif
May 25, 2011 2:37:18 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/oid/idstore_tuning.ldif
May 25, 2011 2:37:18 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/oid/oid_schema_extn.ldif
May 25, 2011 2:37:19 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/oam/server/oim-intg/schema/OID_oblix_pwd_schema_add.ldif
May 25, 2011 2:37:19 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/oam/server/oim-intg/schema/OID_oim_pwd_schema_add.ldif
May 25, 2011 2:37:19 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/oam/server/oim-intg/schema/OID_oblix_schema_add.ldif
May 25, 2011 2:37:34 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/oam/server/oim-intg/schema/OID_oblix_schema_index_add.ldif
The tool has completed its operation. Details have been logged to automation.log

4. このツールを実行したディレクトリにautomation.logファイルが作成されます。ログ・ファイルを確認して、エラーや警告を修正します。ツールは再入可能であり、再び安全に呼び出すことができます。
idmConfigToolでは、ユーザーのほか、グループOrclPolicyAndCredentialWritePrivilegeGroupおよびOrclPolicyAndCredentialReadPrivilegeGroupも作成されます。

7.4.2 Access Manager用のユーザーおよびグループの作成

idmConfigToolを使用し、次のようにしてAccess Managerで必要なユーザーをアイデンティティ・ストアにシードします。idmConfigToolコマンドの詳細は、第2章「idmConfigToolコマンドの使用方法」を参照してください。

1. idmconfigtoolに必要な環境変数を設定します。

2. たとえばpreconfigOAMPropertyFileなどの名前のプロパティ・ファイルを、次のような内容で作成します。このファイルは、アイデンティティ・ストアの事前構成に使用されます。

IDSTORE_HOST : idstore.example.com
IDSTORE_PORT : 389
IDSTORE_BINDDN : cn=orcladmin
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_USERSEARCHBASE: cn=Users,dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=example,dc=com
IDSTORE_SEARCHBASE: dc=example,dc=com
IDSTORE_SYSTEMIDBASE: cn=systemids,dc=example,dc=com
POLICYSTORE_SHARES_IDSTORE: true
OAM11G_IDSTORE_ROLE_SECURITY_ADMIN:OAMAdministrators
IDSTORE_OAMSOFTWAREUSER:oamLDAP
IDSTORE_OAMADMINUSER:oamadmin

説明:

- IDSTORE_HOSTおよびIDSTORE_PORTは、それぞれアイデンティティ・ストア・ディレクトリのホストおよびポートです。Oracle Internet Directoryにアイデンティティ・ストアがある場合は、その前面にOracle Virtual Directoryを配置していても、IDSTORE_HOSTがOracle Internet Directoryを指している必要があります。
Oracle Internet Directory以外のディレクトリを使用する場合は、Oracle Virtual Directoryホストを指定します。

- IDSTORE_BINDDNは、アイデンティティ・ストア・ディレクトリの管理ユーザーです。

- IDSTORE_USERNAMEATTRIBUTEは、アイデンティティ・ストア内のユーザーの設定および検索に使用されます。このプロパティは、ユーザーDNの一部に設定する必要があります。たとえば、ユーザーDNがcn=orcladmin,cn=Users,dc=us,dc=example,dc=comの場合、このプロパティをcnに設定する必要があります。

- IDSTORE_LOGINATTRIBUTEは、ユーザーのログイン名を含むアイデンティティ・ストアのログイン属性です。これは、ユーザーがログインに使用する属性です(たとえば、uid、email)。

- IDSTORE_USERSEARCHBASEは、ユーザーを格納するディレクトリ内の場所に設定する必要があります。このプロパティは、ユーザーを検索するディレクトリを示します。

- IDSTORE_GROUPSEARCHBASEは、グループ(またはロール)を格納するディレクトリ内の場所に設定する必要があります。このプロパティは、グループまたはロールを検索するディレクトリを示します。

- IDSTORE_SEARCHBASEは、ユーザーおよびグループを格納するディレクトリ内の場所に設定する必要があります。このプロパティは、USERSEARCHBASEおよびGROUPSEARCHBASEを含む親の場所です。

- POLICYSTORE_SHARES_IDSTOREは、ポリシー・ストアとアイデンティティ・ストアが同じディレクトリに存在する場合はtrueに設定します。そうでない場合は、falseに設定します。

- OAM11G_IDSTORE_ROLE_SECURITY_ADMINは、Oracle Access Management管理コンソールへのアクセスを可能にするために使用するグループの名前です。

- IDSTORE_OAMSOFTWAREUSERは、Access ManagerがディレクトリまたはLDAPサーバーとの対話に使用するディレクトリの名前です。このユーザーはツールによって作成されます。

- IDSTORE_OAMADMINUSERは、Oracle Access Management管理者として作成するユーザーの名前です。このユーザーはツールによって作成されます。

3. 次の場所にあるidmConfigToolコマンドを-prepareIDStoreを指定して使用し、アイデンティティ・ストアを構成します。

IAM_ORACLE_HOME/idmtools/bin

Linuxの場合、このコマンドの構文は次のとおりです。

idmConfigTool.sh -prepareIDStore mode=OAM input_file=configfile

Windowsの場合、このコマンドの構文は次のとおりです。

idmConfigTool.bat -prepareIDStore mode=OAM input_file=configfile

このコマンドでは、アイデンティティ・ストアへの接続に使用するアカウントのパスワードを入力するように要求されます。その後、次の3つのアカウントのパスワードを作成するように要求されます。

- Oblix匿名ユーザー・アカウント

- OAM管理者アカウント

- OAM LDAPアカウント

コマンドの出力例:

Enter ID Store Bind DN password:
May 25, 2011 2:44:59 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/oid/oam_schema_extn.ldif
*** Creation of Oblix Anonymous User ***
May 25, 2011 2:44:59 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/oid/oam_10g_anonymous_user_template.ldif
Enter User Password for oblixanonymous:
Confirm User Password for oblixanonymous:
*** Creation of oamadmin ***
May 25, 2011 2:45:08 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/oid/oam_user_template.ldif
Enter User Password for oamadmin:
Confirm User Password for oamadmin:
*** Creation of oamLDAP ***
May 25, 2011 2:45:16 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/oid/oam_user_template.ldif
Enter User Password for oamLDAP:
Confirm User Password for oamLDAP:
May 25, 2011 2:45:21 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/common/oam_user_group_read_acl_template.ldif
May 25, 2011 2:45:21 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/oid/oim_group_template.ldif
May 25, 2011 2:45:21 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/oid/oam_group_member_template.ldif
May 25, 2011 2:45:21 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/oid/oam_config_acl.ldif
May 25, 2011 2:45:21 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /u01/app/oracle/product/fmw/iam/idmtools/templates/oid/oid_schemaadmin.ldif
The tool has completed its operation. Details have been logged to automation.log

4. このツールを実行したディレクトリにautomation.logファイルが作成されます。ログ・ファイルを確認して、エラーや警告を修正します。ツールは再入可能であり、再び安全に呼び出すことができます。

7.4.3 Oracle Identity Manager用のユーザーとグループの作成

idmConfigToolを使用し、次のようにしてOracle Identity Managerで必要なユーザーをアイデンティティ・ストアにシードします。idmConfigToolコマンドの詳細は、第2章「idmConfigToolコマンドの使用方法」を参照してください。

Oracle Identity ManagerのかわりにOracle Internet Directoryで操作を実行するにはシステム・ユーザーが必要です。システム・コンテナでこのユーザーを作成し、Oracle Identity Managerが通信するすべてのコンテナを制御するのに適した権限を付与します。Oracle Virtual Directoryは、これらの資格証明を使用してバックエンド・ディレクトリに接続します。

1. idmconfigtoolに必要な環境変数を設定します。

2. たとえばpreconfigOIMPropertyFileなどの名前のプロパティ・ファイルを、次のような内容で作成します。このファイルは、アイデンティティ・ストアの事前構成に使用されます。

IDSTORE_HOST: idstore.example.com
IDSTORE_PORT: 389
IDSTORE_BINDDN: cn=orcladmin
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_USERSEARCHBASE: cn=Users,dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=example,dc=com
IDSTORE_SEARCHBASE: dc=example,dc=com
POLICYSTORE_SHARES_IDSTORE: true
IDSTORE_SYSTEMIDBASE: cn=systemids,dc=example,dc=com
IDSTORE_OIMADMINUSER: oimLDAP
IDSTORE_OIMADMINGROUP: OIMAdministrators

説明:

- IDSTORE_HOSTおよびIDSTORE_PORTは、アイデンティティ・ストア・ディレクトリのホストおよびポートに対応します。Oracle Internet Directoryにアイデンティティ・ストアがある場合は、その前面にOracle Virtual Directoryを配置していても、IDSTORE_HOSTがOracle Internet Directoryを指している必要があります。
OID以外のディレクトリを使用している場合は、Oracle Virtual Directoryのホスト(IDSTORE.example.com)を指定します。

- IDSTORE_BINDDNは、アイデンティティ・ストア・ディレクトリの管理ユーザーです。

- IDSTORE_USERNAMEATTRIBUTEは、アイデンティティ・ストア内のユーザーの設定および検索に使用されます。

- IDSTORE_LOGINATTRIBUTEは、ユーザーのログイン名を含むアイデンティティ・ストアのログイン属性です。

- IDSTORE_USERSEARCHBASEは、ユーザーを配置するアイデンティティ・ストアの場所です。

- IDSTORE_GROUPSEARCHBASEは、グループを配置するアイデンティティ・ストアの場所です。

- IDSTORE_SEARCHBASEは、ユーザーおよびグループを格納するディレクトリ内の場所です。

- POLICYSTORE_SHARES_IDSTOREは、ポリシー・ストアとアイデンティティ・ストアが同じディレクトリに存在する場合はtrueに設定します。そうでない場合は、falseに設定します。

- IDSTORE_SYSTEMIDBASEは、Oracle Identity Managerリコンシリエーション・ユーザーを配置するディレクトリの場所です。

- IDSTORE_OIMADMINUSERは、アイデンティティ・ストアに接続するためにOracle Identity Managerが使用するユーザーです。

- IDSTORE_OIMADMINGROUPは、Oracle Identity Manager管理ユーザーを保持するために作成するグループの名前です。

3. 次の場所にあるidmConfigToolコマンドを-prepareIDStoreを指定して使用し、アイデンティティ・ストアを構成します。

IAM_ORACLE_HOME/idmtools/bin

Linuxの場合、このコマンドの構文は次のとおりです。

idmConfigTool.sh -prepareIDStore mode=OIM input_file=configfile

Windowsの場合、このコマンドの構文は次のとおりです。

idmConfigTool.bat -prepareIDStore mode=OIM input_file=configfile

このコマンドを実行すると、アイデンティティ・ストアへの接続に使用するアカウントのパスワードを入力するように要求されます。このコマンドでは、次の2つのアカウントのパスワードも作成するように要求されます。

- IDSTORE_OIMADMINUSER

- xelsysadm。この値は、Oracle Identity Managerを構成するときに作成した値と一致する必要があります。

コマンドの出力例:

Enter ID Store Bind DN password:
*** Creation of oimLDAP ***
Apr 5, 2011 4:58:51 AM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING:
/u01/app/oracle/product/fmw/iam/idmtools/templates/oid/oim_user_template.ldif
Enter User Password for oimLDAP:
Confirm User Password for oimLDAP:
Apr 5, 2011 4:59:01 AM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING:
/u01/app/oracle/product/fmw/iam/idmtools/templates/oid/oim_group_template.ldif
Apr 5, 2011 4:59:01 AM oracle.ldap.util.LDIFLoader loadOneLdifFileINFO: -> LOADING:
/u01/app/oracle/product/fmw/iam/idmtools/templates/oid/oim_group_member_template.ldif
Apr 5, 2011 4:59:01 AM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING:
/u01/app/oracle/product/fmw/iam/idmtools/templates/oid/oim_groups_acl_template.ldif
Apr 5, 2011 4:59:01 AM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING:
/u01/app/oracle/product/fmw/iam/idmtools/templates/oid/oim_reserve_template.ldif
*** Creation of Xel Sys Admin User ***
Apr 5, 2011 4:59:01 AM oracle.ldap.util.LDIFLoader loadOneLdifFileINFO: -> LOADING:
/u01/app/oracle/product/fmw/iam/idmtools/templates/oid/oam_user_template.ldif
Enter User Password for xelsysadm:
Confirm User Password for xelsysadm:
The tool has completed its operation. Details have been logged to /home/oracle/idmtools/oim.log

4. このツールを実行したディレクトリにautomation.logファイルが作成されます。ログ・ファイルを確認して、エラーや警告を修正します。ツールは再入可能であり、再び安全に呼び出すことができます。

7.4.4 Oracle WebLogic Server用のユーザーとグループの作成

管理コンソールに対するシングル・サインオンを有効にするには、WebLogic Server管理コンソールとOracle Enterprise Manager Fusion Middleware Controlにログインする権限を持つユーザーがアイデンティティ・ストアに存在することを確認する必要があります。idmConfigToolを使用し、次のようにしてWebLogic Serverで必要なユーザーをアイデンティティ・ストアにシードします。idmConfigToolコマンドの詳細は、第2章「idmConfigToolコマンドの使用方法」を参照してください。

1. idmconfigtoolに必要な環境変数を設定します。

2. たとえばpreconfigWLSPropertyFileという名前のプロパティ・ファイルを、次のような内容で作成します。このファイルは、アイデンティティ・ストアの事前構成に使用されます。

IDSTORE_HOST : idstore.example.com
IDSTORE_PORT : 389
IDSTORE_BINDDN : cn=orcladmin
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_WLSADMINUSER: weblogic_idm
IDSTORE_WLSADMINGROUP: wlsadmingroup
IDSTORE_USERSEARCHBASE: cn=Users,dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=example,dc=com
IDSTORE_SEARCHBASE: dc=example,dc=com
POLICYSTORE_SHARES_IDSTORE: true

説明:

- IDSTORE_HOSTおよびIDSTORE_PORTは、それぞれアイデンティティ・ストア・ディレクトリのホストおよびポートです。Oracle Internet Directoryにアイデンティティ・ストアがある場合は、その前面にOracle Virtual Directoryを配置していても、IDSTORE_HOSTがOracle Internet Directoryを指している必要があります。
Oracle Internet Directory以外のディレクトリを使用している場合は、Oracle Virtual Directoryホスト(IDSTORE.example.comになります)を指定します。

- IDSTORE_BINDDNは、アイデンティティ・ストア・ディレクトリの管理ユーザーです。

- IDSTORE_USERNAMEATTRIBUTEは、アイデンティティ・ストア内のユーザーの設定および検索に使用されます。

- IDSTORE_LOGINATTRIBUTEは、ユーザーのログイン名を含むアイデンティティ・ストアのログイン属性です。

- IDSTORE_WLSADMINUSERは、Oracle WebLogic Serverのアイデンティティ・ストア管理者です。

- IDSTORE_WLSADMINGROUPは、Oracle WebLogic Serverのアイデンティティ・ストア管理者グループです。

- IDSTORE_USERSEARCHBASEは、ユーザーを格納するディレクトリ内の場所です。

- IDSTORE_GROUPSEARCHBASEは、グループを格納するディレクトリ内の場所です。

- IDSTORE_SEARCHBASEは、ユーザーおよびグループを格納するディレクトリ内の場所です。

- POLICYSTORE_SHARES_IDSTOREは、ポリシー・ストアとアイデンティティ・ストアが同じディレクトリに存在する場合はtrueに設定します。そうでない場合は、falseに設定します。

3. 次の場所にあるidmConfigToolコマンドを-prepareIDStoreを指定して使用し、アイデンティティ・ストアを構成します。

IAM_ORACLE_HOME/idmtools/bin

Linuxの場合、このコマンドの構文は次のとおりです。

idmConfigTool.sh -prepareIDStore mode=WLS input_file=configfile

Windowsの場合、このコマンドの構文は次のとおりです。

idmConfigTool.bat -prepareIDStore mode=WLS input_file=configfile

このコマンドでは、アイデンティティ・ストアへの接続に使用するアカウントのパスワードを入力するように要求されます。その後、次のアカウントのパスワードを作成するように要求されます。

- WebLogic管理ユーザー(weblogic_idm)

コマンドの出力例:

Enter ID Store Bind DN password :
*** Creation of Weblogic Admin User ***
Jul 28, 2013 10:16:30 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /scratch/binojose/Oracle/ipftest/Oracle_IDM1/idmtools/templates/oid/oam_user_template.ldif
Enter User Password for weblogic_idm:
Confirm User Password for weblogic_idm:
Jul 28, 2013 10:16:38 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /scratch/binojose/Oracle/ipftest/Oracle_IDM1/idmtools/templates/oid/fa_add_pwdpolicy.ldif
Jul 28, 2013 10:16:38 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /scratch/binojose/Oracle/ipftest/Oracle_IDM1/idmtools/templates/oid/weblogic_admin_group.ldif
Jul 28, 2013 10:16:39 PM oracle.ldap.util.LDIFLoader loadOneLdifFile
INFO: -> LOADING: /scratch/binojose/Oracle/ipftest/Oracle_IDM1/idmtools/templates/common/group_member_template.ldif
The tool has completed its operation. Details have been logged to automation.log

4. このツールを実行したディレクトリにautomation.logファイルが作成されます。ログ・ファイルを確認して、エラーや警告を修正します。ツールは再入可能であり、再び安全に呼び出すことができます。

7.5 統合のためのAccess Managerの構成

Oracle Identity ManagerとAccess Manager 11gを統合する前に、Oracle Identity Managerをサポートするように、Access Manager 11gを拡張する必要があります。idmConfigToolコマンドの詳細は、第2章「idmConfigToolコマンドの使用方法」を参照してください。

1. idmconfigtoolに必要な環境変数を設定します。

2. グローバル・パスフレーズを設定します。
Oracle Access Managerは、デフォルトでオープン・セキュリティ・モデルを使用するように構成されています。次の手順では、idmConfigToolを使用してセキュリティ・モデルを変更し、その結果としてグローバル・パスフレーズを設定する必要があります。グローバル・パスフレーズとWebゲートのアクセス・パスワードは同じにする必要はありませんが、同じにすることをお薦めします。次のようにします。

1. WebLogic管理ユーザーとしてOracle Access Management管理コンソールにログインします。
http://oam_adminserver_host:port/oamconsole

2. 「システム構成」タブをクリックします。

3. 「Access Manager」セクションの「Access Managerの設定」をクリックします。

4. 「オープン」を「アクション」メニューで選択します。Access Managerの設定が表示されます。

5. OAMサーバーで簡易セキュリティ・モードを使用することを計画している場合は、グローバル・パスフレーズを指定します。

6. 「適用」をクリックします。

3. たとえばOAMconfigPropertyFileなどの名前のプロパティ・ファイルを、次のような内容で作成します。

注意:

このツールで作成されたデフォルト以外のアイデンティティ・ストアがすでに設定されている場合、OAM11G_IDSTORE_NAMEパラメータをプロパティ・ファイルに追加し、値をそのアイデンティティ・ストアの名前にします。

WLSHOST: adminvhn.example.com
WLSPORT: 7001
WLSADMIN: weblogic
IDSTORE_HOST: idstore.example.com
IDSTORE_PORT: 389
IDSTORE_BINDDN: cn=orcladmin
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_USERSEARCHBASE: cn=Users,dc=example,dc=com
IDSTORE_SEARCHBASE: dc=example,dc=com
IDSTORE_SYSTEMIDBASE: cn=systemids,dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=example,dc=com
IDSTORE_OAMSOFTWAREUSER: oamLDAP
IDSTORE_OAMADMINUSER: oamadmin
IDSTORE_DIRECTORYTYPE: OVD
POLICYSTORE_SHARES_IDSTORE: true
PRIMARY_OAM_SERVERS: oamhost1.example.com:5575
WEBGATE_TYPE: ohsWebgate10g
ACCESS_GATE_ID: Webgate_IDM
OAM11G_IDM_DOMAIN_OHS_HOST: sso.example.com
OAM11G_IDM_DOMAIN_OHS_PORT: 443
OAM11G_IDM_DOMAIN_OHS_PROTOCOL: https
OAM11G_WG_DENY_ON_NOT_PROTECTED: false
OAM11G_IMPERSONATION_FLAG: true
OAM_TRANSFER_MODE: simple
OAM11G_OAM_SERVER_TRANSFER_MODE: simple
OAM11G_IDM_DOMAIN_LOGOUT_URLS: /console/jsp/common/logout.jsp,/em/targetauth/emaslogout.jsp,/oamsso/logout.html,/cgi-bin/logout.pl
OAM11G_SERVER_LOGIN_ATTRIBUTE: uid
COOKIE_DOMAIN: .example.com
OAM11G_IDSTORE_ROLE_SECURITY_ADMIN: OAMAdministrators
OAM11G_SSO_ONLY_FLAG: false
OAM11G_OIM_INTEGRATION_REQ: true
OAM11G_SERVER_LBR_HOST: sso.example.com
OAM11G_SERVER_LBR_PORT: 443
OAM11G_SERVER_LBR_PROTOCOL: https
COOKIE_EXPIRY_INTERVAL: 120
OAM11G_OIM_OHS_URL: https://sso.example.com:443/
SPLIT_DOMAIN: true

説明:

- WLSHOSTおよびWLSPORTは、それぞれ管理サーバーのホストおよびポートです(これが仮想名になります)。

- WLSADMINは、WebLogic Server管理コンソールへのログインに使用するWebLogic Server管理ユーザー・アカウントです。

- IDSTORE_HOSTおよびIDSTORE_PORTは、それぞれアイデンティティ・ストア・ディレクトリのホストおよびポートです。

注意:

Oracle Internet Directory以外のディレクトリ・サーバーを使用する場合は、Oracle Virtual Directoryのホストおよびポートを指定します。

- IDSTORE_BINDDNは、Oracle Internet Directory内の管理ユーザーです。

注意:

Oracle Internet Directory以外のディレクトリ・サーバーを使用する場合は、Oracle Virtual Directory管理ユーザーを指定します。

- IDSTORE_USERNAMEATTRIBUTEは、アイデンティティ・ストア内のユーザーの設定および検索に使用されます。

- IDSTORE_LOGINATTRIBUTEは、ユーザーのログイン名を含むアイデンティティ・ストアのログイン属性です。

- IDSTORE_USERSEARCHBASEは、Access Managerがユーザーを検索する対象となるコンテナです。

- IDSTORE_SEARCHBASEは、ユーザーおよびグループを格納するディレクトリ内の場所です。

- IDSTORE_GROUPSEARCHBASEは、グループを格納するディレクトリ内の場所です。

- IDSTORE_OAMSOFTWAREUSERは、LDAPサーバーとのやりとりに使用するユーザーの名前です。

- IDSTORE_OAMADMINUSERは、Oracle Access Management管理コンソールへのアクセスに使用するユーザーの名前です。

- IDSTORE_DIRECTORYTYPEは、アイデンティティ・ストアのディレクトリ・タイプです。

- PRIMARY_OAM_SERVERSは、Access Managerサーバーとそこで使用されるプロキシ・ポートのカンマ区切りリストです。

注意:

Access Managerサーバーで使用されるプロキシ・ポートを特定する手順は、次のとおりです。

1. http://admin.example.com:7001/oamconsoleでOracle Access Management管理コンソールにログインします。

2. 「システム構成」タブをクリックします。

3. 「共通構成」セクションで、「サーバー・インスタンス」を開きます。

4. Access Managerサーバー(WLS_OAM1など)をクリックし、「開く」をクリックします。

5. プロキシ・ポートが「ポート」として表示されます。

- WEBGATE_TYPEは、作成するWebゲート・エージェントのタイプです。有効な値は、Webゲート・バージョン11が使用されている場合は、ohsWebgate11g、Webゲート・バージョン10が使用されている場合は、ohsWebgate10gです。

- ACCESS_GATE_IDは、Webゲートに割り当てる名前です。前述のプロパティ値を変更しないでください。

- OAM11G_IDM_DOMAIN_OHS_HOSTは、高可用性構成でOHSの前にあるロード・バランサの名前です。

- OAM11G_IDM_DOMAIN_OHS_PORTは、ロード・バランサでリスニングするポートです。

- OAM11G_IDM_DOMAIN_OHS_PROTOCOLは、ロード・バランサにリクエストを送るときに使用するプロトコルです。

- OAM11G_WG_DENY_ON_NOT_PROTECTEDは、10g Webゲートの保護されたフラグの場合に拒否するように設定します。有効な値は、trueとfalseです。

- OAM11G_IMPERSONATION_FLAGは、OAMサーバーの偽装機能を有効または無効にします。有効な値は、true (有効化)およびfalse (無効化)です。

- OAM_TRANSFER_MODEは、アクセス・サーバーが機能するセキュリティ・モデルです。

- OAM11G_OAM_SERVER_TRANSFER_MODEは、Access Managerサーバーのセキュリティ・モデルです。

- OAM11G_IDM_DOMAIN_LOGOUT_URLSは、様々なログアウトURLに設定されます。

- OAM11G_SERVER_LOGIN_ATTRIBUTEをuidに設定することで、ユーザーのログイン時にそのユーザー名がLDAPのuid属性に対して検証されます。

- COOKIE_DOMAINは、Webゲートが機能するドメインです。

- OAM11G_IDSTORE_ROLE_SECURITY_ADMINアイデンティティ・ストアのロール・セキュリティを管理するアカウントです。

- OAM11G_SSO_ONLY_FLAGは、認証専用モードまたは標準モード(認証と認可をサポート)としてAccess Manager 11gを構成します。
OAM11G_SSO_ONLY_FLAGをtrueに設定すると、Access Manager 11gサーバーは認証専用モードで動作します。この場合、デフォルトではすべての認可でポリシー検証が実行されずにtrueが戻されます。このモードでは、認可の処理に伴うオーバーヘッドがサーバーに発生しません。認可ポリシーに依存せず、Access Managerサーバーの認証機能のみを必要とするアプリケーションでは、このモードをお薦めします。

この値をfalseに設定すると、サーバーはデフォルトのモードで実行されます。このモードでは、それぞれの認証の後でAccess Managerサーバーに対する認可リクエストが1つ以上発生します。Webゲートは、Access Managerサーバーからの応答に基づいて、リクエストされたリソースへのアクセスを許可または拒否できます。

- OAM11G_OIM_INTEGRATION_REQは、Oracle Identity Managerと統合するのか、Access Managerをスタンドアロン・モードで構成するのかを指定します。統合する場合、trueに設定します。

- OAM11G_SSO_ONLY_FLAGは、Access Managerを認証のみのモードで使用するかどうかを決定します。

- OAM11G_SERVER_LBR_HOSTは、サイトの前面に配置するOAMサーバーの名前です。この値と次の2つのパラメータを使用してログインURLを構成します。

- OAM11G_SERVER_LBR_PORTは、ロード・バランサでリスニングするポートです。

- OAM11G_SERVER_LBR_PROTOCOLは、使用するURL接頭辞です。

- COOKIE_EXPIRY_INTERVALは、Cookieの有効期限です。

- OAM11G_OIM_OHS_URLは、OIMサーバーの前面に配置するロード・バランサまたはOHSのURLです。

- SPLIT_DOMAINは、分割ドメイン・シナリオでOracle Access Management管理コンソールの二重認証を抑制する場合、trueに設定する必要があります。

4. 次の場所にあるidmConfigToolコマンドを-configOAMを指定して使用し、アイデンティティ・ストアを構成します。

IAM_ORACLE_HOME/idmtools/bin

Linuxの場合、このコマンドの構文は次のとおりです。

idmConfigTool.sh -configOAM input_file=configfile

Windowsの場合、このコマンドの構文は次のとおりです。

idmConfigTool.bat -configOAM input_file=configfile

このコマンドを実行すると、アイデンティティ・ストアへの接続に使用するアカウントのパスワードを入力するように要求されます。次の3つのアカウントのパスワードも作成するように要求されます。

- OAM11G_WLS_ADMIN_PASSWD

- IDSTORE_PWD_OAMSOFTWAREUSER

- IDSTORE_PWD_OAMADMINUSER

コマンドの出力例:

Enter ID Store Bind DN password:
Enter User Password for OAM11G_WLS_ADMIN_PASSWD:
Confirm User Password for OAM11G_WLS_ADMIN_PASSWD:
Enter User Password for IDSTORE_PWD_OAMSOFTWAREUSER:
Confirm User Password for IDSTORE_PWD_OAMSOFTWAREUSER:
Enter User Password for IDSTORE_PWD_OAMADMINUSER:
Confirm User Password for IDSTORE_PWD_OAMADMINUSER:
The tool has completed its operation. Details have been logged to automation.log

5. ログ・ファイルを確認して、エラーや警告を修正します。ツールは再入可能であり、再び安全に呼び出すことができます。

6. WebLogic管理サーバーを再起動します。

7.6 Access ManagerとOracle Identity Managerの統合

次の手順を実行して、Oracle Identity ManagerをOracle Access Managerと統合します。idmConfigToolコマンドの詳細は、第2章「idmConfigToolコマンドの使用方法」を参照してください。

1. idmconfigtoolに必要な環境変数を設定します。

2. OIMconfigPropertyFileという名前のプロパティ・ファイルを、次のような内容で作成します。

LOGINURI: /${app.context}/adfAuthentication
LOGOUTURI: /oamsso/logout.html
AUTOLOGINURI: None
ACCESS_SERVER_HOST: OAMHOST1.example.com
ACCESS_SERVER_PORT: 5575
ACCESS_GATE_ID: Webgate_IDM
COOKIE_DOMAIN: .example.com
COOKIE_EXPIRY_INTERVAL: 120
OAM_TRANSFER_MODE: SIMPLE
WEBGATE_TYPE: ohsWebgate10g
OAM_SERVER_VERSION: 11g
OAM11G_WLS_ADMIN_HOST: wlsadmin.example.com
OAM11G_WLS_ADMIN_PORT: 17001
OAM11G_WLS_ADMIN_USER: weblogic
SSO_ENABLED_FLAG: true
IDSTORE_PORT: 389
IDSTORE_HOST: idstore.example.com
IDSTORE_DIRECTORYTYPE: OVD
IDSTORE_ADMIN_USER: cn=oamLDAP,cn=Users,dc=example,dc=com
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_USERSEARCHBASE: cn=Users,dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=example,dc=com
MDS_DB_URL: jdbc:oracle:thin:@DBHOST:PORT:SID
MDS_DB_SCHEMA_USERNAME: idm_mds
WLSHOST: adminvhn.example.com
WLSPORT: 7001
WLSADMIN: weblogic
DOMAIN_NAME: IDM_Domain
OIM_MANAGED_SERVER_NAME: WLS_OIM1
DOMAIN_LOCATION: ORACLE_BASE/admin/IDMDomain/aserver/IDMDomain

説明:

- ACCESS_SERVER_PORTは、Access ManagerのNAPポートである必要があります。

- OAMサーバーが簡易モードを使用してリクエストを受け入れるように構成されている場合は、OAM_TRANSFER_MODEをSIMPLEに設定します。それ以外の場合は、OAM_TRANSFER_MODEをOPENに設定します。

- WEBGATE_TYPEを、Webゲート・バージョン11を使用している場合はohsWebgate11gに、Webゲート・バージョン10を使用している場合はohsWebgate10gに設定します。

- OAM_SERVER_VERSIONは、Oracle Access Manager 10gを使用している場合は10g、Access Manager 11gを使用している場合は11gに設定します。

- OAMとOIMが個別のWebLogicドメイン上にある場合は、OAM11G_WLS_ADMIN_HOST、OAM11G_WLS_ADMIN_PORTおよびOAM11G_WLS_ADMIN_USERを設定します。分割ドメインの統合トポロジについては、第1章「概要」を参照してください。

- IDSTORE_PORTは、アイデンティティ・ストアとしてOracle Internet Directoryを使用している場合、Oracle Internet Directoryポートに設定します。それ以外の場合は、Oracle Virtual Directoryポートに設定します。

- IDSTORE_HOSTは、アイデンティティ・ストアとしてOracle Internet Directoryを使用している場合、そのOracle Internet Directoryホストまたはロード・バランサの名前に設定します。それ以外の場合は、Oracle Virtual Directoryホストまたはロード・バランサの名前に設定します。

- IDSTORE_DIRECTORYTYPEは、Oracle Virtual Directoryサーバーを使用して非OIDディレクトリまたはOracle Internet Directoryに接続している場合、OVDに設定します。Oracle Internet Directory内にアイデンティティ・ストアがあり、Oracle Virtual Directoryを介さず直接これにアクセスしている場合は、OIDに設定します。

- IDSTORE_ADMIN_USERを、アイデンティティ・ストア・ディレクトリの管理者の完全なLDAP DNに設定します。これは、IDSTORE_OAMSOFTWAREUSERに対して指定された同じユーザーである必要があります(指定されている場合)。

- この場合のMDS_DB_URLは、単一インスタンス・データベースを表します。@記号の後に続く文字列は、使用している環境に合った正しい値にする必要があります。SIDは、サービス名ではなく実際のSIDにする必要があります。MDS_URLは、単一のインスタンス・データベースを使用している場合、jdbc:oracle:thin:@DBHOST:1521:SIDに設定します。

3. 次の場所にあるidmConfigToolコマンドを-configOIMを指定して使用し、アイデンティティ・ストアを構成します。

IAM_ORACLE_HOME/idmtools/bin

Linuxの場合、このコマンドの構文は次のとおりです。

idmConfigTool.sh -configOIM input_file=configfile

Windowsの場合、このコマンドの構文は次のとおりです。

idmConfigTool.bat -configOIM input_file=configfile

コマンドを実行すると、次の情報を入力するように求められます。

- アクセス・ゲートのパスワード

- シングル・サインオン(SSO)キーストアのパスワード

- グローバル・パスフレーズ

- Idstore管理パスワード

- MDSデータベース・スキーマのパスワード

- 管理サーバーのユーザー・パスワード

- Oracle Access Management管理ユーザーに使用するパスワード

出力例:

Enter sso access gate password:
Enter mds db schema password:
Enter idstore admin password:
Enter admin server user password:

********* Seeding OAM Passwds in OIM *********

Enter ssoKeystore.jks Password:
Enter SSO Global Passphrase:

Completed loading user inputs for - CSF Config

Updating CSF with Access Gate Password...

WLS ManagedService is not up running. Fall back to use system properties for configuration.
Updating CSF ssoKeystore.jks Password...

Updating CSF for SSO Global Passphrase Password...

********* ********* *********

********* Activating OAM Notifications *********

Completed loading user inputs for - MDS DB Config

Initialized MDS resources

Apr 11, 2011 4:57:45 AM oracle.mds
NOTIFICATION: transfer operation started.
Apr 11, 2011 4:57:46 AM oracle.mds
NOTIFICATION: transfer is completed. Total number of documents successfully processed: 1, total number of documents failed: 0.
Upload to DB completed

Releasing all resources

Notifications activated.

********* ********* *********

********* Seeding OAM Config in OIM *********

Completed loading user inputs for - OAM Access Config

Validated input values

Initialized MDS resources

Apr 11, 2011 4:57:46 AM oracle.mds
NOTIFICATION: transfer operation started.
Apr 11, 2011 4:57:47 AM oracle.mds
NOTIFICATION: transfer is completed. Total number of documents successfully processed: 1, total number of documents failed: 0.
Download from DB completed

Releasing all resources

Updated /u01/app/oracle/product/fmw/iam/server/oamMetadata/db/oim-config.xml

Initialized MDS resources

Apr 11, 2011 4:57:47 AM oracle.mds
NOTIFICATION: transfer operation started.
Apr 11, 2011 4:57:47 AM oracle.mds
NOTIFICATION: transfer is completed. Total number of documents successfully processed: 1, total number of documents failed: 0.
Upload to DB completed

Releasing all resources

OAM configuration seeded. Please restart oim server.

********* ********* *********

********* Configuring Authenticators in OIM WLS *********
Completed loading user inputs for - Dogwood Admin WLS

Completed loading user inputs for - LDAP connection info

Connecting to t3://adminvhn.example.com:7001

Connection to domain runtime mbean server established

Starting edit session

Edit session started

Connected to security realm.

Validating provider configuration

Validated desired authentication providers
Validated authentication provider state successfuly.Created OAMIDAsserter successfulyCreated OIDAuthenticator successfulyCreated OIMSignatureAuthenticator successfulySetting attributes for OID AuthenticatorAll attributes set. Configured in OID Authenticator nowlDAP details configured in OID authenticatorControl flags for authenticators set sucessfullyReordering of authenticators done sucessfullySaving the transactionTransaction savedActivating the changesChanges Activated. Edit session ended.Connection closed sucessfully********* ********* *********

4. ログ・ファイルを確認し、必要に応じてエラーを修正します。ツールは再入可能であり、再び安全に呼び出すことができます。

5. Oracle Identity Manager管理対象サーバーおよびWebLogic管理サーバーを再起動します。

7.7 OIM上のリソースをフロントエンドするためのOracle HTTP Serverの構成

Oracle HTTP Serverを11g Webゲートとともにインストールする必要があります。詳細は、『Oracle Fusion Middleware WebGates for Oracle Access Managerのインストール』のOAMのためのOracle HTTP Server 11g Webゲートのインストールと構成に関する項を参照してください。

Oracle HTTP Serverと10g Webゲートのインストールの詳細は、『Oracle Fusion Middleware Oracle Access Management管理者ガイド』のAccess Manager 11gによる10g Webゲートの登録および管理に関する項および10g Webゲート用のApache、OHSおよびIHSの構成に関する項を参照してください。

注意:

Webゲートのインストールおよび構成が必要です。

Oracle HTTP Server (OHS)プロファイルを編集してOHSサーバーがAccess Managerにより保護されているOIMサーバーを指すようにする必要があります。プロファイル・ファイルは次の場所にあります。

$IAM_HOME/server/setup/templates/oim.conf

このファイルをテンプレート・ファイルとして使用します。OHSプロファイルを編集した後、OHS moduleconfの場所にコピーします。

INSTANCE_LOCATION/config/OHS/ohs1/moduleconf/

OHSプロファイルを編集し、次の行を追加します。

<Location /identity>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost <OIM managed server host>
WebLogicPort <OIM managed server port>
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

<Location /sysadmin>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost <OIM managed server host>
WebLogicPort <OIM managed server port>
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

<Location /oam>
SetHandler weblogic-handler
WLCookieName jsessionid
WebLogicHost <OAM managed server host>
WebLogicPort <OAM managed server port>
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

<Location /admin>
SetHandler weblogic-handler
WebLogicHost <OIM managed server host>
WebLogicPort <OIM managed server port>
WLCookieName oimjsessionid
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# oim self and advanced admin webapp consoles(canonic webapp)
<Location /oim>
SetHandler weblogic-handler
WebLogicHost <OIM managed server host>
WebLogicPort <OIM managed server port>
WLCookieName oimjsessionid
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# SOA Callback webservice for SOD - Provide the SOA Managed Server Ports
<Location /sodcheck>
SetHandler weblogic-handler
WebLogicHost <OIM managed server host>
WebLogicPort <OIM managed server port>
WLCookieName oimjsessionid
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# Callback webservice for SOA. SOA calls this when a request is approved/rejected
# Provide the SOA Managed Server Port
<Location /workflowservice>
SetHandler weblogic-handler
WebLogicHost <OIM managed server host>
WebLogicPort <OIM managed server port>
WLCookieName oimjsessionid
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# xlWebApp - Legacy 9.x webapp (struts based)
<Location /xlWebApp>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost <OIM managed server host>
WebLogicPort <OIM managed server port>
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# Nexaweb WebApp - used for workflow designer and DM
<Location /Nexaweb>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost <OIM managed server host>
WebLogicPort <OIM managed server port>
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# used for FA Callback service.
<Location /callbackResponseService>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost <OIM managed server host>
WebLogicPort <OIM managed server port>
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# spml xsd profile
<Location /spml-xsd>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost <OIM managed server host>
WebLogicPort <OIM managed server port>
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

<Location /HTTPClnt>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost <OIM managed server host>
WebLogicPort <OIM managed server port>
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

OHSインスタンスは、後で再起動する必要があります。

7.8 ドメイン・エージェントが削除された状態でのサーバーの起動

管理コンソールのシングル・サインオン機能はIDMDomainエージェントが提供しています。Webゲートがシングル・サインオンを処理するため、IDMDomainエージェントは削除し、Oracle WebLogic Server管理サーバーと実行中のすべての管理対象サーバーを再起動する必要があります。

1. URL http://admin.example.com/consoleを使用して、WebLogic Server管理コンソールにログインします。

2. 「ドメイン構造」メニューで「セキュリティ・レルム」を選択します。

3. myrealmをクリックします。

4. 「プロバイダ」タブをクリックします。

5. 「チェンジ・センター」で「ロックして編集」をクリックします。

6. 認証プロバイダのリストで「IAMSuiteAgent」を選択します。

7. 「削除」をクリックします。

8. 「はい」をクリックして削除を確認します。

9. 「チェンジ・センター」で「変更のアクティブ化」をクリックします。

10. WebLogic管理サーバーおよび実行中のすべての管理対象サーバーを再起動します。
詳細は、『Oracle Fusion Middleware管理者ガイド』のOracle WebLogic Serverインスタンスの起動および停止に関する項を参照してください。

7.9 その他の構成タスク

この項では、各自の要件に基づき必要に応じて実行する、追加の構成について説明します。

この項の内容は次のとおりです。

- ドメイン・エージェントから10g WebゲートおよびOHS 11gへの移行

- すぐに使用できるSOAサーバー・コンポジットの更新

7.9.1 ドメイン・エージェントから10g WebゲートおよびOHS 11gへの移行

このタスクは、Oracle Identity ManagerとOracle Access Managerとの間の統合を設定した後にOracle HTTP Server 10g WebGate for Oracle Access Managerを使用する場合のみ、実行する必要があります。『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のドメイン・エージェントからOracle HTTP Server 10g Webgate for OAMへの移行に関する項の手順に従ってください。

その後、次の項の手順を実行して、Access ManagerとOracle Identity Managerを統合するためのキーストアを作成します。

7.9.1.1 Access ManagerとOracle Identity Managerを統合するための単一キーストアの作成

注意:

Webゲートは第7.5項「統合のためのAccess Managerの構成」の単純なモードを使用するように構成されているため、この手順が必要です。

シンプル・トランスポート・プロトコルを使用して動作するようにAccess Managerを構成すると、Access Managerへのすべてのトラフィックが暗号化されます。Access Managerと他のコンポーネント(Oracle Identity Managerなど)を統合する場合は、統合される製品がこの暗号化を理解できるようにする必要があります。(トランスポート・モデルがオープンの場合、これは必要ありません。)このためには、キーストアを使用します。

シンプル・プロトコルを使用するようにAccess Managerを変更すると、ディレクトリASERVER_HOME/output/webgate-ssl内にキーストアが自動的に作成されます。このディレクトリには、次のファイルが含まれています。

- oamclient-keystore.jks: 秘密鍵が格納されます。

- oamclient-truststore.jks: Access Managerの簡易モードのCA証明書が格納されます。

これらのファイルには、簡易モードのAccess Managerを有効にしたときに定義されるグローバル・パスフレーズを使用してアクセスします。

一部の製品では、前述の両方のファイルの構成が必要になります。また、一部の製品(Oracle Identity Managerなど)では、統合された単一のキーストアが必要になります。

Oracle Identity Managerでの使用に適したキーストアを作成するには、次の手順を実行します。

1. 次の例に示すように、ディレクトリをASERVER_HOME/output/webgate-sslに変更します。

cd ASERVER_HOME/output/webgate-ssl

2. 次の例に示すように、ファイルoamclient-keystore.jksをssoKeystore.jksとしてコピーします。

cp oamclient-keystore.jks ssoKeystore.jks

3. 次のコマンドを使用して、新しいキーストアssoKeystore.jksにトラスト・ストアをインポートします。

keytool -importcert -file IAM_ORACLE_HOME/oam/server/config/cacert.der -trustcacerts -keystore PathName_to_keystore -storetype JKS

キーストア・パスワードを、求められたら入力します。

次に例を示します。

keytool -importcert -file IAM_ORACLE_HOME/oam/server/config/cacert.der -trustcacerts -keystore ssoKeystore.jks -storetype JKS

注意:

ssoKeystore.jksファイルとoamclient-truststore.jksファイルは、簡易モードで実行されるAccess ManagerとOracle Identity Managerを統合するときに必要です。これらのコンポーネントを統合するとき、これらのファイルをASERVER_HOME/config/fmwconfigディレクトリにコピーするように求められます。この後、これらのファイルを配置したマシンで、pack/unpackを使用してドメインを拡張する場合は、unpackコマンドを実行した後でssoKeystore.jksとoamclient-truststore.jksをコピーしなおす必要があります。

7.9.2 すぐに使用できるSOAサーバー・コンポジットの更新

統合環境では、Oracle Identity ManagerはOracle HTTP Server (OHS)によってフロントエンド処理されます。すべてのSOAサーバーのデフォルト・コンポジットを更新する必要があります。次の手順を実行してください。

関連項目:

Fusion Middleware Controlのオンライン・ヘルプおよびSOA Suiteのドキュメント

1. Oracle Enterprise Manager Fusion Middleware Controlコンソールにログインします。

2. 「SOA」→「soa-infra」(SOAサーバー名)→「デフォルト」にナビゲートします。
環境に適したコンポジット・タイプを更新します。たとえば、ApprovalTask、Human Workflow、DisconnectedProvisioningなどとなります。

3. デフォルトのコンポジットごとに、次の手順を実行します。

1. コンポジット名をクリックします。

2. 「コンポーネント・メトリック」からコンポジット・タイプを選択します。たとえば、「ApprovalTask」をクリックします。

3. 「管理」タブを選択し、次のようにフィールドを更新します。
ホスト名: OHSホスト名

HTTPポート: SSLモードの場合、空白のままにします。SSL以外のモードの場合、OHS HTTPポートを入力します。

HTTPSポート: SSLモードの場合、OHS HTTPSポートを入力します。SSL以外のモードの場合、空白のままにします。

4. 「適用」をクリックします。

注意:

値が正しく更新されない場合、Oracle Identity Managerのコンポジット・ページは空白のページとして開かれます。

7.10 統合の検証

この項では、統合環境の検証手順について説明します。次の健全性チェックを実行することにより、実行時に発生する可能性のあるいくつかの一般的な問題を回避できます。

このリリースでは、Oracle Identity Managerは、idmconfigコマンドがconfigOIMオプションとともに実行された場合に、Access Managerと統合されます。このコマンドが実行されると、次の構成設定およびファイルが更新されます。

- OIMメタデータ・ストアに格納されているoim-config.xmlファイル内のSSOConfigセクション。第7.10.1項「OIM SSOConfigの検証」を参照してください。

- OIM_DOMAIN_HOME/config.xml内のレルム・セキュリティ・プロバイダ。第7.10.2項「セキュリティ・プロバイダ構成の検証」を参照してください。

- OIM_DOMAIN_HOME/config/fmwconfig/cwallet.sso内のOIMドメイン資格証明ストア。第7.10.3項「OIMドメイン資格証明ストアの検証」を参照してください。

- OIMメタデータ・ストアに格納されているEventhandler.xml内の、SSO統合に必要となる編成イベント・ハンドラ。第7.10.4項「SSOのイベント・ハンドラの検証」を参照してください。

- OIM_DOMAIN_HOME/config/fmwconfig/jps-config.xml内のSSOログアウト構成。第7.10.5項「SSOログアウト構成の検証」を参照してください。

7.10.1 OIM SSOConfigの検証

oim-config.xmlでSSOConfig設定を検証する手順は、次のとおりです。

1. Oracle Enterprise Manager Fusion Middleware Controlにログインします。

2. 「WebLogicドメイン」を選択し、ドメイン名を右クリックします。

3. システムMBeanブラウザを開き、ssoconfig Mbeanを検索します。
詳細は、『Oracle Fusion Middleware管理者ガイド』のFusion Middleware Control MBeanブラウザの使用のスタート・ガイドを参照してください。

4. idmconfig configOIMの実行後に次の属性設定が正しいことを確認します。必要に応じて値を更新します。

- SsoEnabled属性は、trueに設定されます。

- TAP通信を使用している場合、TapEndpoinURL属性が存在します。

- NAP通信を使用している場合、AccessGateID、AccessServerHost、AccessServerPort、CookieDomain、CookieExpiryInterval、NapVersion、TransferModeおよびWebgateTypeの属性が存在します。

- Versionが11gに設定されている場合、TapEndpointURL属性が有効なURLに設定されていることを確認してください。。新しいブラウザでアクセスすることにより、URLを検証してください。

- Versionが10gに設定されている場合、他の属性が正しく構成されていることを確認してください。

7.10.2 セキュリティ・プロバイダ構成の検証

セキュリティ・プロバイダ構成を検証する手順は、次のとおりです。

1. WebLogic Server管理コンソールで、OIMドメインにナビゲートします。

2. 「セキュリティ・レルム」→「myrealm」→「プロバイダ」にナビゲートします。

3. 認証プロバイダが次のように構成されていることを確認します。

認証プロバイダ

制御フラグ

OAM IDアサータ

REQUIRED

DefaultAuthenticator

SUFFICIENT

OIMシグネチャ・オーセンティケータ

SUFFICIENT

OIMオーセンティケータ

OPTIONAL

LDAPオーセンティケータ

SUFFICIENT

4. OIMオーセンティケータ→「プロバイダ固有」にナビゲートします。「SSOMode」チェック・ボックスが選択されていることを確認します。

5. LDAPオーセンティケータは、使用されているLDAPプロバイダによって異なります。「ユーザーとグループ」タブを選択し、「ユーザー」タブにLDAPユーザーがリストされていることを確認することで、これが正しく構成されていることを検証します。

7.10.3 OIMドメイン資格証明ストアの検証

Oracle Identity ManagerとAccess Manager間の通信の際に使用されるすべてのパスワードと資格証明は、ドメイン資格証明ストア内に格納されています。

通信に使用されるパスワードと資格証明を検証する手順は、次のとおりです。

1. Oracle Enterprise Manager Fusion Middleware Controlにログインし、「WebLogicドメイン」を選択します。

2. ドメイン名を右クリックします。「セキュリティ」→「資格証明」にナビゲートします。

3. 「oim」インスタンスを開きます。次の資格証明を検証します。

- SSOAccessKey: OPENモードのみ

- SSOKeystoreKey: SIMPLEモードのみ

- SSOGobalPP: SIMPLEモードのみ

- OIM_TAP_PARTNER_KEY

7.10.4 SSOのイベント・ハンドラの検証

ユーザーステータスの変更後、セッションの終了をサポートするため、イベント・ハンドラ・セットがOracle Identity Manager MDSにアップロードされます。これらのイベント・ハンドラは、ユーザー・ステータスが変更されるとAccess Managerに通知し、これによってユーザー・セッションが終了します。これらは、EventHanlders.xmlファイル(/db/ssointg/EventHandlers.xml)の一部としてMDSにアップロードされます。

すべてのイベント・ハンドラが正しく構成されていることを確認するには、次を実行します。

- OIM MDSスキームに接続し、/db/ssointg/EventHandlers.xmlのMDS_PATHS表で、PATH_FULLNAME列を検索します。

- EventHandlers.xmlファイルをエクスポートします。詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のカスタマイズのデプロイおよびアンデプロイに関する項を参照してください。

7.10.5 SSOログアウト構成の検証

Oracle Identity Managerログアウトは、統合の完了後、シングル・ログアウトを使用するように構成されます。ユーザーは、Oracle Identity Managerからログアウトすると、Access Managerで保護されたすべてのアプリケーションからもログアウトされます。

次に、OIM_DOMAIN_HOME/config/fmwconfig/jps-config.xmlファイル内のシングル・ログアウト構成の例を示します。

<propertySet name="props.auth.uri.0">
<property name="logout.url" value="/oamsso/logout.html"/>
<property name="autologin.url" value="None"/>
<property name="login.url.BASIC" value="/${app.context}/adfAuthentication"/>
<property name="login.url.FORM" value="/${app.context}/adfAuthentication"/>
<property name="login.url.ANONYMOUS" value="/${app.context}/adfAuthentication"/>
</propertySet>

7.11 統合のテスト

最後のタスクでは、表7-3に示す順番で各手順を実行して統合を検証します。

表7-3 Access ManagerとOracle Identity Managerの統合の検証

手順

説明

予想される結果

1

次のURLを使用して、Oracle Access Management管理コンソールにアクセスします。

http://admin_server_host:admin_server_port/oamconsole

管理コンソールにアクセスします。

2

次のURLを使用して、Oracle Identity Manager管理ページにアクセスします。

- Oracle Identity Self Serviceの場合:

http://hostname:port/identity/faces/home

- Oracle Identity System Administrationの場合:

http://hostname:port/sysadmin/faces/home

ここで、hostname:portは、ドメイン・エージェントを使用しているのか、Webゲートを使用しているのかによって、OIMまたはOHS用にすることもできます。

Oracle Access Managementのログイン・ページが表示されます。

ログイン・ページに「パスワードを忘れた場合」、「自己登録」および「登録のトラッキング」機能のリンクが表示されていることを確認してください。これらの機能の詳細は、第1.5.3項「パスワード管理シナリオ」を参照してください。

3

Oracle Identity Manager管理者としてログインします。

Oracle Identity Managerの管理ページにアクセスできます。

4

Oracle Identity Self Serviceを使用して新しいユーザーを作成します。

ブラウザを閉じ、OIMアイデンティティ・ページにアクセスしてみます。ログインのプロンプトが表示されたら、新しく作成したユーザーの有効な資格証明を指定します。

Oracle Identity Managerにリダイレクトされ、パスワードを再設定するように求められます。

パスワードを再設定し、チャレンジ質問を設定すると、自動的にアプリケーションにログインされます。自動ログインが機能します。

5

ブラウザを閉じ、Oracle Identity Self Serviceにアクセスします。

Access Manager管理対象サーバーのOracle Access Managementログイン・ページが表示されます。

ログイン・ページに「パスワードを忘れた場合」、「自己登録」および「登録のトラッキング」機能のリンクが表示されていることを確認してください。各リンクが機能することを確認してください。これらの機能の詳細は、第1.5.3項「パスワード管理シナリオ」を参照してください。

6

ブラウザを開き、テスト・ユーザーとしてログインすることで、ロック/無効化機能が機能することを検証します。

別のブラウザ・セッションでテスト・ユーザーとしてログインし、テスト・ユーザー・アカウントをロックします。OIMコンソールで「ログアウト」リンクをクリックします。

ユーザーがログアウトし、最初のログイン・ページにリダイレクトされます。

7

テスト・ユーザーまたはシステム管理者としてOracle Identity Self Serviceにログインすることによって、SSOログアウト機能が機能することを検証します。

ページからログアウトすると、SSOログアウト・ページにリダイレクトされます。

7.12 一般的な問題のトラブルシューティング

この項では、Oracle Identity ManagerとAccess Managerとの統合環境で発生する可能性のある一般的な問題について示し、これらの解決方法を説明します。一般的な問題のタイプごとにまとめられており、その内容は次のとおりです。。

- シングル・サインオンの問題

- 自動ログインの問題

- セッションの終了の問題

- アカウントのセルフロックの問題

- その他の問題

表示される可能性のあるエラー・メッセージの詳細は、この項およびOracle Fusion Middlewareエラー・メッセージ・リファレンスを参照してください。

その他のリソースのトラブルシューティングについては、第1.7項「My Oracle Supportを使用したその他のトラブルシューティング情報」を参照してください。

7.12.1 シングル・サインオンの問題

この項では、統合環境でのシングル・サインオンに関連した一般的な問題と解決方法を説明します。シングル・サインオンを使用することにより、ユーザーは、Access Managerに正常に認証されると、Oracle Identity Managerリソースにアクセスできます。Access Managerにより保護されたOracle Identity Managerリソースにアクセスすると、ユーザーは、Oracle Access Managementコンソールのログイン・ページを使用してAccess Managerにより資格証明に対してチャレンジされます。

この項では、次のシングル・サインオンの問題について説明します。

- HTTPヘッダーのチェック

- ユーザーが誤ったログイン・ページにリダイレクトされる

- ログインに失敗する

- Oracle Access Managementコンソールのログイン・ページが表示されない

- 認証されたユーザーがOracle Identity Managerログイン・ページにリダイレクトされる

- ユーザーがOracle Identity Managerログイン・ページにリダイレクトされる

- 新しいユーザーがパスワード変更のためにリダイレクトされない

- ユーザーがリダイレクトのループに入る

7.12.1.1 HTTPヘッダーのチェック

HTTPヘッダーのチェックによってログインの問題に関する診断情報が得られる場合があります。問題のトラブルシューティング用に、HTTPヘッダーから情報を収集することが可能です。このためには、WebブラウザでHTTPトレースを有効にし、新しいユーザーとしてAccess Managerにログインして、ヘッダーで役に立つ情報を調べます。

7.12.1.2 ユーザーが誤ったログイン・ページにリダイレクトされる

OHS (http://OHS_HOST:OHS_PORT/identityなど)を使用してOracle Identity Managerリソースにアクセスすると、ユーザーはOracle Access Managementコンソールのログイン・ページではなく、Oracle Identity Managerのログイン・ページにリダイレクトされます。

原因

Access Manager Webゲートがデプロイされていないか、正しく構成されていません。

解決策

httpd.confファイルの最後に次のエントリが含まれていることを確認してください。

include  "<ORACLE_WEBTIER_INST_HOME>/config/OHS/ohs1/webgate.conf"

ここで、webgate.confには、11g Webゲート構成が含まれています。

エントリが見つからない場合、11g Webゲートの構成手順を見なおし、見落としているものがないか確認します。詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』および『Oracle Fusion Middleware Oracle Access Management管理者ガイド』を参照してください。

7.12.1.3 ログイン失敗

次のエラーでユーザー・ログインに失敗します。

An incorrect Username or Password was specified.

原因

ユーザー認証はAccess Managerが担当していますが、認証に失敗しています。アイデンティティ・ストアの構成が誤っている可能性があります。

解決策

Oracle Access Managementコンソールでアイデンティティ・ストアが正しく構成されていることを確認してください。

この問題を解決するには、次のようにします。

1. Oracle Access Managementコンソールにログインします。

2. 「システム構成」→「データソース」→「OIMIDStore」にナビゲートします。

3. デフォルト・ストアおよびシステム・ストアの構成を確認します。

4. 「接続テスト」をクリックして接続を確認します。

7.12.1.4 Oracle Access Managementコンソールのログイン・ページが表示されない

ユーザーにログインのためのOracle Access Managementコンソールが表示されず、次のエラー・メッセージが表示されます。

Oracle Access Manager Operation Error.

原因1

OAMサーバーが実行されていません。

解決策1

OAMサーバーを再起動します。

原因2

WebゲートがOHSに正しくデプロイされておらず、OAMサーバー上の10gまたは11gエージェントに対して正しく構成されていません。

The AccessGate is unable to contact any Access Serversなどのエラー・メッセージが表示されます。

問題は、SSOエージェントに関係している可能性があります。

解決策2

この問題を解決するには、次のようにします。

1. oamtest.jar (ORACLE_HOME/oam/server/tester)を実行し、AgentIDを指定することにより接続をテストします。
AgentIDは、WEBSERVER_HOMEのwebgate/configディレクトリ内のObAccessClient.xmlファイルにあります。次に例を示します。

<SimpleList>

<NameValPair

ParamName="id"

Value="IAMAG_11g"></NameValPair>

</SimpleList>

テスターが接続に失敗した場合、OAMサーバーのSSOエージェント構成(パスワード/ホスト/ポート)に問題があることが確実となります。

2. 10gまたは11gのSSOエージェントを再作成し、このエージェントを使用するようにWebゲートを再構成します。
『Oracle Fusion Middleware Oracle Access Management管理者ガイド』の説明に従ってください。

7.12.1.5 認証されたユーザーがOracle Identity Managerログイン・ページにリダイレクトされる

Oracle Access Managementコンソールを使用して認証されたユーザーが、資格証明を入力するためのOracle Identity Managerログイン・ページにリダイレクトされます。

原因1

OIMドメインのセキュリティ・プロバイダが、Oracle WebLogic Serverで正しく構成されていません。

解決策1

WebLogicセキュリティ・プロバイダが、OIMドメインのセキュリティ・レルムに対して正しく構成されていることを確認します。LDAPオーセンティケータの設定をチェックしてください。詳細は、第7.10.2項を参照してください。

原因2

OAMIDAsserterがOracle WebLogic Serverで正しく構成されていません。

解決策2

この問題を解決するには、次のようにします。

1. Oracle WebLogic Server管理コンソールにログインします。

2. 「共通」タブにナビゲートし、「アクティブなタイプ」にWebゲート・タイプの正しいヘッダーが含まれていることを確認します。

- OAM_REMOTE_USER (11g Webゲートの場合)。

- ObSSOCookie (10g Webゲートの場合)

7.12.1.6 ユーザーがOracle Identity Managerログイン・ページにリダイレクトされる

Access Managerは、パスワード管理をOracle Identity Managerに依存しています。ユーザーが初めてログインする場合、またはユーザー・パスワードが失効している場合、Access ManagerはユーザーをOracle Identity Managerの「初回ログイン」ページにリダイレクトします。

Access Managerのログイン画面から、ユーザーはOracle Identity Managerの「パスワードを忘れた場合」フロー、「自己登録」フローまたは「登録のトラッキング」フローにナビゲートできます。

原因

これらのフローを実行した際になんらかの逸脱やエラーが発生した場合には、oam-config.xml (OAM_DOMAIN_HOME/config/fmwconfig)の構成が正しくありません。

解決策

oam-config.xmlの内容が、次の例に類似していることを確認してください。特に、HOSTおよびPORTが、Oracle Identity Managerリソースのフロントエンドとなるように構成されたOHS (またはサポートされている任意のWebサーバー)に対応していることを確認します。

Setting Name="IdentityManagement" Type="htf:map">

<Setting Name="IdentityServiceConfiguration" Type="htf:map">

<Setting Name="IdentityServiceProvider" Type="xsd:string">oracle.security.am.engines.idm.provider.OracleIdentityServiceProvider</Setting>

<Setting Name="AnonymousAuthLevel" Type="xsd:integer">0</Setting>

<Setting Name="IdentityServiceEnabled" Type="xsd:boolean">true</Setting>

<Setting Name="IdentityServiceProviderConfiguration" Type="htf:map">

<Setting Name="AccountLockedURL" Type="xsd:string">/identity/faces/accountlocked</Setting>

<Setting Name="ChallengeSetupNotDoneURL" Type="xsd:string">/identity/faces/firstlogin</Setting>

<Setting Name="DateFormatPattern" Type="xsd:string">yyyy-MM-dd'T'HH:mm:ss'Z'</Setting>

<Setting Name="ForcedPasswordChangeURL" Type="xsd:string">/identity/faces/firstlogin</Setting>

<Setting Name="IdentityManagementServer" Type="xsd:string">OIM-SERVER-1</Setting>

<Setting Name="PasswordExpiredURL" Type="xsd:string">/identity/faces/firstlogin</Setting>

<Setting Name="LockoutAttempts" Type="xsd:integer">5</Setting>

<Setting Name="LockoutDurationSeconds" Type="xsd:long">31536000</Setting>

</Setting>

</Setting>

<Setting Name="RegistrationServiceConfiguration" Type="htf:map">

<Setting Name="RegistrationServiceProvider" Type="xsd:string">oracle.security.am.engines.idm.provider.DefaultRegistrationServiceProvider</Setting>

<Setting Name="RegistrationServiceEnabled" Type="xsd:boolean">true</Setting>

<Setting Name="RegistrationServiceProviderConfiguration" Type="htf:map">

<Setting Name="ForgotPasswordURL" Type="xsd:string">/identity/faces/forgotpassword</Setting>

<Setting Name="NewUserRegistrationURL" Type="xsd:string">/identity/faces/register</Setting>

<Setting Name="RegistrationManagementServer" Type="xsd:string">OIM-SERVER-1</Setting>

<Setting Name="TrackUserRegistrationURL" Type="xsd:string">/identity/faces/trackregistration</Setting>

</Setting>

</Setting>

<Setting Name="ServerConfiguration" Type="htf:map">

<Setting Name="OIM-SERVER-1" Type="htf:map">

<Setting Name="Host" Type="xsd:string">myhost1.example.com</Setting>

<Setting Name="Port" Type="xsd:integer">7777</Setting>

<Setting Name="SecureMode" Type="xsd:boolean">false</Setting>

</Setting>

</Setting>

</Setting>

7.12.1.7 新しいユーザーがパスワード変更のためにリダイレクトされない

Oracle Identity Managerで作成された新しいユーザーが初めてOracle Identity Managerにログインしても、「初回ログイン」ページにリダイレクトされず、パスワードを変更するように要求されます。

原因

Oracle Virtual Directoryアダプタが正しく構成されていません。

解決策

該当するadapters.or_xmlファイルを検索し、UserManagementとchangelogの両方のアダプタに対してoamEnabled属性がtrueに設定されていることを確認してください。次に例を示します。

<param name="oamEnabled" value="true"/>

さらに、oam-config.xmlでIdentityServiceEnabledがtrueに設定されていることを確認してください(第7.12.1.5項を参照)。次に例を示します。

<Setting Name="IdentityServiceEnabled" Type="xsd:boolean">true</Setting>

7.12.1.8 ユーザーがリダイレクトのループに入る

新しいユーザーがOracle Identity Manager Self-Serviceへのアクセスを試み、正常に認証された後に、リダイレクトのループに入ります。サービス・ページがロードされず、ブラウザはスピンまたはリフレッシュし続けます。

原因

フロントエンドidentityのWLCookieNameのOHS構成設定が正しくありません。

解決策

フロントエンドidentityのOHS構成をチェックし、WLCookieNameディレクティブがoimjsessionidに設定されていることを確認します。設定されていない場合、Oracle Identity ManagerリソースのLocationエントリごとに、このディレクティブをoimjsessionidとして設定してください。次に例を示します。

<Location /identity>

SetHandler weblogic-handler

WLCookieName oimjsessionid

WebLogicHost myhost1.example.com

WebLogicPort 8003

WLLogFile "$
Unknown macro: {ORACLE_INSTANCE}
/diagnostics/logs/mod_wl/oim_component.log"

</Location>

7.12.2 自動ログインの問題

自動ログイン機能では、ユーザーがパスワードを忘れた場合のフローまたは強制パスワード変更のフローが正常終了した後で、新しいパスワードを使用して認証するよう要求されることなく、Oracle Identity Managerにログインできます。

Oracle Identity ManagerとAccess Manager間の通信を、NAPまたはTAPチャネルを使用するように構成できます。自動ログインの問題のデバッグは、使用されているチャネルが特定される場合、単純になります。Oracle Enterprise Manager Fusion Middleware ControlのシステムMBeanブラウザを使用して、Oracle Identity Manager SSOConfig Mbean (バージョン属性)を調べることにより、チャネルを特定してください。詳細は、『Oracle Fusion Middleware管理者ガイド』のシステムMBeanブラウザの使用に関する項を参照してください。

使用しているAccess Managerバージョンに応じて、次のようになります。

- バージョンが10gの場合は、自動ログインの際、NAPチャネルが使用されます。第7.12.2.1項「TAPプロトコルの問題」を参照してください。
パスワードがLDAP同期によりOracle Identity ManagerとLDAPで再設定されると、Oracle Identity Managerは、リクエストされたリソースにリダイレクトすることによってユーザーを自動ログインします。

- バージョンが11gの場合は、自動ログインの際、TAPチャネルが使用されます。第7.12.2.2項「NAPプロトコルの問題」を参照してください。
パスワードがLDAP同期によりOracle Identity ManagerとLDAPで再設定されると、Oracle Identity Managerは、ユーザーをAccess Manager TAPエンドポイントURL (SSOConfig: TAPEndpointUrl)にリダイレクトします。Access Managerでは、リクエストされたリソースにリダイレクトすることで、ユーザーを自動ログインします。

注意:

11gR2のOracle Identity ManagerとAccess Manager統合環境では、デフォルトで自動ログイン用にTAPプロトコルが構成されています。

7.12.2.1 TAPプロトコルの問題

次のいずれかのエラー・メッセージがないか、OIMサーバーおよびOAMサーバーのログを確認してください。

7.12.2.1.1 「404 見つかりません」エラー

パスワードを再設定した後に、ユーザーが「404 見つかりません」エラー・ページにリダイレクトされます。

原因

Access Manager TAPエンドポイントURL (SSOConfig: TAPEndpointUrl)が正しく構成されていません。

解決策

Oracle Identity Manager SSOConfigで、TAPEndpointUrlが正しく構成され、アクセス可能であることを確認してください。次に例を示します。

http://OAM_HOST:OAM_PORT/oam/server/dap/cred_submit

または

http://OHS_HOST:OHS_PORT/oam/server/dap/cred_submit

ここで、Access ManagerのフロントエンドはOHSとなります。

7.12.2.1.2 システム・エラー

パスワードの再設定後に、ユーザーがAccess ManagerのTapEndpointUrl (Oracle Identity Manager SSOConfigで構成)にリダイレクトされ、次のエラーがUIに表示されます。

System error. Please re-try your action. If you continue to get this error, please contact the Administrator.

原因1

次のようなメッセージがOAMサーバーのログに表示されます。

Sep 19, 2012 4:29:45 PM EST> <Warning> <oracle.oam.engine.authn>

<BEA-000000> <DAP Token not received>

<Sep 19, 2012 4:29:45 PM EST> <Error> <oracle.oam.binding> <OAM-00002>

<Error occurred while handling the request.

java.lang.NullPointerException

at

oracle.security.am.engines.enginecontroller.token.DAPTokenEncIssuerImpl.issue(DAPTokenEncIssuerImpl.java:87)

解決策1

このエラーは、Access ManagerのTAPResponseOnlySchemeでの誤った構成が原因である可能性があります。oam-config.xml (OAM_DOMAIN_HOME/config/fmwconfigにあります)に、次のエントリが含まれていることを確認してください。

<Setting Name="DAPModules" Type="htf:map">

<Setting Name="7DASE52D" Type="htf:map">

<Setting Name="MAPPERCLASS" Type="xsd:string">oracle.security.am.engine.authn.internal.executor.DAPAttributeMapper</Setting>

<Setting Name="MatchLDAPAttribute" Type="xsd:string">uid</Setting>

<Setting Name="name" Type="xsd:string">DAP</Setting>

</Setting>

</Setting>

MatchLDAPAttributeの値はuidである必要があります。そうでない場合は、値を変更してください。

問題を解決するには、次のようにします。

1. Oracle Access Managementコンソールにログインします。

2. TapResponseOnlySchemeにナビゲートします。Challengeパラメータとして次を追加します。

MatchLDAPAttribute=uid

3. 変更内容を保存します。

原因2

次のエラーがOAMサーバーのログに表示されます。

javax.crypto.BadPaddingException: Given final block not properly padded

これは、OIM_TAP_PARTNER_KEYが資格証明ストア内のOIM資格証明マップに含まれていない場合、または無効な鍵が存在する場合に発生する可能性があります。

解決策2

idmConfigTool -configOIMオプションを再実行することにより、Oracle Identity ManagerをTAPパートナとしてAccess Managerに再登録してください。-configOIMオプションを実行したら、OIMドメインすべてを再起動する必要があります。

原因3

パスワードの再設定後に、自動ログインに成功しない場合、OIMサーバーのログには次のエラーが表示されます。

Error occured while retrieving TAP partner key from Credential store

解決策3

問題を解決するには、次のようにします。

1. Fusion Middleware Controlを使用して、OIM_TAP_PARTNER_KEY汎用資格証明が、資格証明ストア内のOIM資格証明マップに存在することを確認します。

2. OIM_TAP_PARTNER_KEYが存在する場合、LDAP同期が正しく構成されていること、およびパスワードがLDAPプロバイダで再設定されていることを確認します。これは、ユーザーと新しいまたは再設定したパスワードでldapbindコマンドを発行することによって確認します。

原因4

パスワードの再設定後に、自動ログインに成功しない場合、OIMサーバーのログには次のエラーが表示されます。

Error occured while retrieving DAP token from OAM due to invalid TAP partner key

資格証明ストアのOIM資格証明マップにあるOIM_TAP_PARTNER_KEYが有効ではありません。

解決策4

idmConfigTool -configOIMオプションを再実行することにより、Oracle Identity ManagerをTAPパートナとしてAccess Managerに再登録してください。-configOIMオプションを実行したら、OIMドメインすべてを再起動する必要があります。

7.12.2.2 NAPプロトコルの問題

次のいずれかのタイプのエラー・メッセージがないか、OIMサーバーのログを確認してください。

原因1

リソースURLが保護されていません。

解決策1

Access Managerホスト識別子構成で、host:portの正しい組合せが構成されていることを確認します。

この問題を解決するには、次のようにします。

1. Oracle Access Managementコンソールにログインします。

2. 「IAMSuiteAgent」にナビゲートします。

3. ホスト識別子で、識別子のhost:portの組合せを確認します。たとえば、IAMSuiteAgent:/oimなどです。

4. host:portの組合せが正しい場合、OIMログでSetting web resource urlを確認します。この記述はResource not protected URL文の上にあります。
一般に、ホスト識別子には、Oracle Identity ManagerのフロントエンドとなるOHS (Webサーバー)のhost:portの組合せが必要です。

原因2

aaaClientが初期化されません。

解決策2

OIMドメイン資格証明ストアにシードされたパスワードが正しいことを確認してください。OPENモードの場合、Webゲートのパスワードを確認します。SIMPLEモードの場合は、SSOキーストア・パスワードとSSOグローバル・パスフレーズが正しくシードされていることを確認します。詳細は、第7.10.3項を参照してください。

原因3

構成済のどのOAMサーバーとも通信できません。これが起動され実行していることを確認してください。

解決策3

OIMドメイン資格証明ストアにシードされたパスワードが正しいことを確認してください。OPENモードの場合、Webゲートのパスワードを確認します。SIMPLEモードの場合は、SSOキーストア・パスワードとSSOグローバル・パスフレーズも正しくシードされていることを確認します。詳細は、第7.10.3項を参照してください。

原因4

SSOKeystoreが改ざんされているかパスワードが正しくありません。

解決策4

キーストア・ファイルssoKeystore.jksがOIM_DOMAIN_HOME/config/fmwconfigに存在することを確認します。存在する場合は、キーストア・パスワードがOIMドメイン資格証明ストアに適切にシードされていることを確認してください。詳細は、第7.10.3項を参照してください。

原因5

Oracle Identity Managerのログに障害に関する情報がありません。

解決策5

この問題を解決するには、次のようにします。

1. HTTPヘッダーを有効にし、初回ログイン、パスワードを忘れた場合のフローを実行しながらヘッダーを取得します。第7.12.1.1項を参照してください。

2. HTTPヘッダーで、「初回ログイン」、「パスワードを忘れた場合」ページのPOSTメソッドの後のSet-Cookie: ObSSOCookieを探します。Cookieのドメインを確認してください。これは、保護対象リソースのURLのドメインと一致している必要があります。

- Cookieドメインが異なる場合は、Fusion Middleware Controlを使用して、Oracle Identity Manager SSO構成内のCookieDomainを更新します。第7.10.1項を参照してください。

- Cookieドメインが正しい場合は、OIMとOAMサーバーをホストするマシンで時刻に相違がないか確認します。

7.12.3 セッションの終了の問題

セッションの終了機能では、Oracle Identity Manager管理者によりユーザー・ステータスが変更されると、アクティブなユーザー・セッションをすべて終了できます。セッションが終了となるOracle Identity Manager操作には、ユーザーのロックまたはロック解除、有効化または無効化、変更または削除があります。

セッションの終了はOracle Identity Managerによってトリガーされ、Access Manager NAP APIを呼び出してセッションを終了します。通信はNAPチャネル上で行われます。

セッションの終了の問題のトラブルシューティング手順は、次のとおりです。

1. NAP関連の構成がOracle Identity ManagerのSSOConfigに格納されていることを確認します。第7.10.1項を参照してください。

2. /db/sssointg/EvenHandlers.xmlがOracle Identity Manager MDSにあることを確認します。第7.10.4項を参照してください。

3. Oracle Identity ManagerのSSOConfigのAccessGateID属性が、OAMサーバーによりホストされている10g SSOエージェントを指していることを確認します。

4. SSOConfigが11gエージェントIDを指している場合、次の手順を実行します。

1. 新しい10g SSOエージェントを作成します。

2. そのIDをAccessGateID属性に設定します。

3. OIMドメイン資格証明ストアで、エージェント・パスワード(SSOAccessKey)を更新します。

4. 通信モードがSIMPLEの場合、エージェントのaaa_cert.pemおよびaaa_key.pemを使用して、新しいキーストア・ファイル(ssoKeystore.jks)を作成し、OIM_DOMAIN_HOME/config/fmwconfigディレクトリにコピーする必要があります。

5. SIMPLEモードでは、OIMドメイン資格証明ストア内のSSOキーストア鍵(SSOKeystoreKey)およびSSOグローバル・パスフレーズ(SSOGobalPP)を更新します。

新しい10g SSOエージェントまたはssoKeyStore.jksの作成については、『Oracle Fusion Middleware Oracle Access Management管理者ガイド』を参照してください。

7.12.4 アカウントのセルフロックの問題

ユース・ケース1

ログインの試行に複数回失敗したため、Oracle Internet Directory (OID)とAccess Manager (OAM)の両方がユーザーをロックアウトしました。ユーザーは、Oracle Identity Manager (OIM)の「パスワードを忘れた場合」ページを使用して自分のパスワードをリセットしようとしますが、リセット操作は失敗します。

考えられる説明

ユーザーのロック済ステータスがOracle Identity Managerにまだ伝播されていません。

1. Oracle Identity Managerでユーザーがロックされているかどうか確認します。

1. Oracle Identity Manager管理者としてIdentity Self Serviceアプリケーションにログインします。

2. 「ユーザー」セクションにナビゲートし、ユーザーを検索します。

3. アイデンティティ・ステータスがlockedであるかどうか確認します。

2. ステータスがlockedでない場合、LDAPユーザーの作成とリコンシリエーションの更新のスケジュール済ジョブを実行し、ユーザー・ステータスがlockedとなっていることを確認します。

ユース・ケース2

複数の無効な資格証明によってログインが複数回試行されたため、ユーザー・アカウントがセルフロックされました。その後、ユーザーは正しい資格証明でログインしようとしますが、ログインできません。ユーザーは初めてログインするつもりで、パスワードを変更しますが、ログインは引き続き失敗します。

考えられる説明

Oracle Internet DirectoryとAccess Managerの両方がユーザー・アカウントをロックしている可能性があります。この場合、ユーザーはOracle Identity Managerおよび保護されたページにはログインできません。ユーザーは「パスワードを忘れた場合」フローを使用して、パスワードをリセットする必要があります。

Access Managerのみがユーザーをロックアウトしている場合、ユーザーはOracle Identity Managerにログインしてパスワードをただちに変更できます。

ユース・ケース3

Oracle Internet DirectoryのpwdMaxFailureの数の3が、oblogintrycountの値の5を下回っています。複数の無効な資格証明によってログインが複数回試行された(この場合は3回)ため、Oracle Internet Directoryはユーザーをロックアウトしました。その後、ユーザーは正しい資格証明でログインしようとしますが、4回目の試行でもログインできません。ユーザーは初めてログインするつもりで、パスワードを変更しますが、ログインは引き続き失敗します。

考えられる説明

Oracle Internet Directoryはユーザーをロックアウトしましたが、Access Managerはロックアウトしていません。oblogintrycountが5未満でもユーザーは正しいパスワードでログインできませんが、次の「パスワードを忘れた場合」フローは機能し、パスワードはリセットされます。

Oracle Identity Managerは、Oracle Internet Directoryでロックされたユーザー・アカウントを調整しないため、Oracle Internet Directoryがユーザーをロックアウトしても、OIMにあわせて調整されるものはありません。Oracle Internet Directoryがユーザーをロックアウトすると、Oracle Identity Managerではユーザーがアクティブとして表示されます。パスワードをリセットする方法は、「パスワードを忘れた場合」フローの実行のみです。

ユース・ケース4

Oracle Internet DirectoryのpwdMaxFailureの回数の7が、oblogintrycountの値の5を下回っています。複数の無効な資格証明によってログインが複数回試行されたため、Access Managerはユーザーをロックアウトしました。その後、ユーザーが正しい資格証明でログインしようとすると、ログインに成功し、パスワードの変更がリダイレクトされますが、パスワードのリセット操作が失敗します。

考えられる説明

ユーザーのロック済ステータスがOracle Identity Managerにまだ伝播されていません。

1. Oracle Identity Managerでユーザーがロックされているかどうか確認します。

1. Oracle Identity Manager管理者としてIdentity Self Serviceアプリケーションにログインします。

2. 「ユーザー」セクションにナビゲートし、ユーザーを検索します。

3. アイデンティティ・ステータスがlockedであるかどうか確認します。

2. ステータスがlockedでない場合、LDAPユーザーの作成とリコンシリエーションの更新のスケジュール済ジョブを実行し、ユーザー・ステータスがlockedとなっていることを確認します。

ユース・ケース1とこのユース・ケースは非常に似ていることに注意してください。ユース・ケース1では、Oracle Internet DirectoryとAccess Managerの両方がユーザー・アカウントをロックアウトしましたが、このユース・ケースではAccess Managerのみがユーザーをロックします。ただし、両方のユース・ケースの修正は同じです。

ユース・ケース5

ユーザーは自分のパスワードを思い出せないため、「パスワードを忘れた場合」フローを使用してパスワードをリセットしようとします。ユーザーは自分のユーザー・ログインを指定し、新しいパスワードを指定して間違ったチャレンジ応答を指定します。3回の試行に失敗した後、Oracle Internet DirectoryとAccess Managerの両方がユーザー・アカウントをロックします。oblogintrycountの値が5であるため、ユーザーは3回ではなく5回の試行後にロックアウトされると予想しています。

考えられる説明

Oracle Identity Managerの「リセット」/「パスワードを忘れた場合」フローでのパスワード・リセットの試行は、Oracle Identity Managerのシステム・プロパティXL.MaxPasswordResetAttemptsによって管理されており、デフォルト値は3です。したがって、ユーザーは3回の試行後ただちにロックアウトされます。Oracle Identity Managerは、Oracle Internet DirectoryおよびAccess Managerでユーザーをネイティブにロックします。

パスワード・リセットの試行は、ログイン試行とは異なることに注意してください。ログインの試行はAccess Manager (oblogintrycount=5)によって管理され、パスワード・リセットの試行はOracle Identity Manager (XL.MaxPasswordResetAttempts=3)によって管理されます。

ユース・ケース6

一定のLDAPバインディングが間違った資格証明を使用したため、Oracle Internet Directoryはユーザーをロックします。Access Managerはユーザーをロックアウトしていません。ユーザーは正しい資格証明でログインしようとしますが、ログインできません。

考えられる説明

このユース・ケースでは、Access ManagerではなくOracle Internet Directoryがユーザーをロックアウトします。oblogintrycountが5未満でもユーザーは正しいパスワードでログインできませんが、「パスワードを忘れた場合」フローに従うことでパスワードをリセットできます。

ユーザーがOracle Internet Directoryによってのみロックアウトされている場合、ユーザーのロックアウト・ステータスはOracle Identity Managerにあわせて調整されることはありません。したがって、ユーザーはOracle Internet Directoryでロックされていても、Oracle Identity Managerでは引き続きアクティブとして表示されます。

7.12.5 その他の問題

ここでは、次のようなその他の問題の解決策を適用します。

- Oracle Identity Managerへのクライアントベース・ログインに失敗する

- ログアウトで404エラーがスローされる

7.12.5.1 Oracle Identity Managerへのクライアントベース・ログインに失敗する

Oracle Identity Managerへのクライアントベース・ログインに成功するには、次のようにします。

- クライアントベース・ログイン・ユーザーがLDAPプロバイダに存在する必要があります。

- ユーザーが存在するLDAPプロバイダに応じて、OIMドメインセキュリティ・レルムでLDAPオーセンティケータを構成する必要があります。第7.10.2項を参照してください。

7.12.5.2 ログアウトで404エラーがスローされる

Oracle Identity Managerの保護されたアプリケーションからのログアウトで404エラーがスローされた場合は、jps-config.xmlにログアウト構成が存在することを確認します。第7.10.5項を参照してください。

必要に応じて、$DOMAIN_HOME/config/fmwconfigにあるjps構成ファイルを編集し、すべてのサーバーを再起動することにより、JPS構成を修正できます。

jps-config.xmlで不適切な構成を解決する手順は次のとおりです。

1. ターミナル・ウィンドウで、次のコマンドを発行します: cd $DW_ORACLE_HOME/common/bin

2. ./wlst.sh

3. connect()

4. addOAMSSOProvider(loginuri="/${app.context}/adfAuthentication", logouturi="/oamsso/logout.html", autologinuri="/obrar.cgi")

5. exit

6. ドメイン内のすべてのサーバーを再起動します。

8 Oracle Adaptive Access ManagerとAccess Managerの統合

Oracle Adaptive Access Manager (OAAM)とOracle Access Management Access Manager (Access Manager)を統合すると、認証プロセスを細かく制御して、Oracle Adaptive Access Managerポリシーに対する認証前および認証後チェックの全機能を使用できるようになります。

この章では、Oracle Adaptive Access ManagerをOracle Access Management Access Manager (Access Manager)と統合し、リスクベースの認証によりリソースを保護する方法について説明します。

この章では、次の内容を説明します。

- 第8.1項「Access ManagerとOracle Adaptive Access Managerの統合について」

- 第8.2項「定義、頭文字および略語」

- 第8.3項「OAAMとAccess Managerとの基本統合」

- 第8.4項「Access ManagerとのOAAMの拡張統合」

- 第8.5項「Access ManagerとOAAMとの統合のその他の構成タスク」

- 第8.6項「リソース保護シナリオ」

- 第8.7項「一般的な問題のトラブルシューティング」

注意:

Oracle Identity Managerの統合では、パスワード収集に関連する追加機能が提供されます。詳細は、第9章「Access Manager、OAAMおよびOIMの統合」を参照してください。

8.1 Access ManagerとOracle Adaptive Access Managerの統合について

Oracle Access Management Access Manager (Access Manager)は、Webシングル・サインオン(SSO)、認証、認可、ポリシーとエージェントの集中管理、リアルタイム・セッション管理および監査のコア機能を提供します。

Oracle Adaptive Access Manager 11gでは、重要なオンライン・ビジネス・アプリケーションを、強力でありながら導入が容易なリスクベースの認証、フィッシング対策およびマルウェア対策機能によって保護します。

この統合シナリオにより、Access Managerを使用してリソースへのアクセスを制御し、Oracle Adaptive Access Managerを使用して強力なマルチファクタ認証と事前対応型のリアルタイムな詐欺防止を実現できるようになります。拡張ログイン・セキュリティには、仮想認証デバイス、デバイスのフィンガープリント、リアルタイム・リスク分析およびリスクベースのチャレンジが含まれます。

Oracle Adaptive Access ManagerとAccess Managerは、次の2通りの方法のいずれかで統合できます。

- OAAMとAccess Managerとの基本統合

- OAAMとAccess Managerとの拡張統合

各デプロイメントでサポートされるシナリオおよび各シナリオを実現するフローの詳細は第1.5項「一般的な統合のシナリオ」を参照してください。

表8-1は、Access ManagerとOracle Adaptive Access Managerの統合タイプをまとめたものです。

表8-1 Access ManagerとOracle Adaptive Access Managerとの統合のタイプ

詳細

基本統合

拡張統合

TAPを使用した拡張統合

使用可能

11.1.1.3.0以上

11.1.1.3.0およびOAAM (11.1.1.5以前)

11gリリース1 (11.1.1)のバージョンのOAAMのAccess Managerとの拡張統合については、このバージョンの『Oracle Fusion Middleware Oracle Access Manager統合ガイド』を参照してください。

11.1.1.5.0以上

OAAMとAccess Managerとの拡張統合では、TAPを使用したAccess ManagerとOAAMとの統合がサポートされています。

機能

認証スキーム、デバイスのフィンガープリント、リスク分析およびナレッジベース認証(KBA)チャレンジ・メカニズム。

この統合で使用できるチャレンジ・メカニズムは、KBAのみです。

異なるフロー(チャレンジ、登録、その他のフローなど)のライブラリおよび構成インタフェース。Oracle Adaptive Access Managerから使用できる、ログイン・セキュリティの数多くのユース・ケース

認証スキーム、デバイスのフィンガープリント、リスク分析、KBAチャレンジ・メカニズム。

OTP Anywhere、チャレンジ・プロセッサ・フレームワーク、共有ライブラリ・フレームワーク、安全なセルフサービスのパスワード管理フローなどの拡張機能および拡張性。

必要に応じて、システム・インテグレータを介して、Oracle Adaptive Access Managerとサード・パーティ・ツールのシングル・サインオン製品を統合できます。

認証スキーム、デバイスのフィンガープリント、リスク分析、KBAチャレンジ・メカニズム、およびステップアップ認証などその他の高度なセキュリティ・アクセス機能。

OTP Anywhere、チャレンジ・プロセッサ・フレームワーク、共有ライブラリ・フレームワーク、安全なセルフサービスのパスワード管理フローなどの拡張機能および拡張性。

必要に応じて、システム・インテグレータを介して、Oracle Adaptive Access Managerとサード・パーティのシングル・サインオン製品を統合できます。

OAAMサーバー

OAAMサーバーはAccess Managerに埋め込まれるため、拡張統合よりフットプリントが小さくなります。

個別のOAAMサーバーは必要ありません。

Oracle Adaptive Access Managerの拡張ライブラリは、埋込みOAMサーバーにバンドルされ、直接使用されます。

ライブラリでは、ルール・エンジンおよびOracle Adaptive Access Managerのランタイム機能が提供されます。ユーザーが登録フローに入ると、Access Managerは、ユーザーに対して仮想認証デバイスを表示し、OAAMライブラリを使用してAPIコールを行うことによって認証前ポリシーを実行します。OAAMライブラリは、内部的にJDBCコールを行って、ユーザーに関連するデータをOAAMデータベースに保存します。

必要なOracle Adaptive Access Managerの完全統合

OAAMサーバーには個別の管理対象サーバーが必要です。

必要なOracle Adaptive Access Managerの完全統合

OAAMサーバーには個別の管理対象サーバーが必要です。

OAAM管理サーバー

必須

OAAM管理サーバーは、Access Manager管理者により、ポリシーのインポートおよびエクスポート、新しいポリシーの作成、セッションの表示およびOracle Adaptive Access Manager機能の構成に使用されます。

必須

必須

OAAMデータベース

必須

必須

必須

サポートされているエージェント

10g Webゲートおよびシングル・サインオン(OSSO)エージェント

10g Webゲート

10gまたは11g Webゲート

認証スキーム

OAAMBasic

チャレンジ・パラメータ:

- oaamPostAuth=true

- oaamPreAuth=true

仕様:

- 認証レベル: 2

- チャレンジ・メソッド: Form

- 認証モジュール: LDAP

- コンテキスト・タイプ: default

- コンテキスト値: /oam

OAAMBasicスキームの詳細は、『Oracle Fusion Middleware Oracle Access Management管理者ガイド』の認証スキームの管理に関する項を参照してください。

OAAMAdvanced

仕様:

- 認証レベル: 2

- チャレンジ・メソッド: Form

- 認証モジュール: LDAP

- コンテキスト・タイプ: External

OAAMAdvancedスキームの詳細は、『Oracle Fusion Middleware Oracle Access Management管理者ガイド』の認証スキームの管理に関する項を参照してください。

TAPScheme

チャレンジ・パラメータ:

- TAPPartnerId=TAPPartnerName

- MatchLDAPAttribute=user_name_attribute

- SERVER_HOST_ALIAS=HOST_ALIAS_1

仕様:

- 認証レベル: 2

- チャレンジ・メソッド: DAP

- 認証モジュール: DAP

- コンテキスト・タイプ: External

TAPSchemeスキームの詳細は、『Oracle Fusion Middleware Oracle Access Management管理者ガイド』の認証スキームの管理に関する項を参照してください。

参照先

第8.3項「OAAMとAccess Managerとの基本統合」を参照してください。

『Oracle Fusion Middleware Oracle Access Manager統合ガイド』 11g リリース1 (11.1.1)を参照してください。

第9章「Access Manager、OAAMおよびOIMの統合」を参照してください。

認証フローの詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のOAAMの認証、パスワード管理およびカスタマ・ケアのフローに関する項を参照してください。

8.2 定義、頭文字および略語

この項では、この統合に関係する主な定義、頭文字および略語を示します。

表8-2 拡張統合に関する用語

用語

定義

アクション

Oracle Adaptive Access Managerには、アクセス・リクエスト、イベントまたはトランザクションのリスクを計算し、不正や誤用を防止するための適切な結果を判断する機能が備えられています。この結果がアクションとなる場合があります。アクションは、ルールがトリガーされるときにアクティブ化されるイベントです。たとえば、ブロック・アクセス、チャレンジ質問、PINまたはパスワード要求およびその他のアクションがあります。

詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のポリシー、ルールおよび条件の管理に関する項を参照してください。

アラート

アラートは、イベントが発生したことを示すメッセージです。イベントには、ルールがトリガーされた、トリガー組合せが満たされた、オーバーライドが使用されたなどがあります。

アラート・グループは、ルールがトリガーされた場合にグループ内のすべてのアラートが作成されるように、ルール内の結果として使用されます。

詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のポリシー、ルールおよび条件の管理に関する項を参照してください。

認証

ユーザー、デバイスまたはアプリケーションのアイデンティティを確認するプロセスです。認証によって、誰が特定のサービスへのアクセスを試行しているかが識別されます。

認証レベル

Access Managerでは、様々なリソースへのアクセスに必要となる個別のセキュリティ・レベルを提供できるよう、リソースで構成可能な様々な認証レベルをサポートししています。個別の認証レベルにより、保護度合の高いリソースが他のリソースから区別されます。Access Managerが送信するTAPトークンにより、認証レベルに関連するパラメータが提供されます。

認証レベルとは、認証スキームの信頼レベルです。ユーザーからの資格証明のトランスポートの保護に使用されるチャレンジ・メソッドおよび信頼度が反映されます。

信頼レベルは、0(信頼なし)から99(最高の信頼レベル)の整数値で表現されます。

注意: 指定されたレベルのリソースにユーザーが認証された後、リソースが元のリソースと同等またはそれ以下の信頼レベルである場合に同じアプリケーション・ドメインまたは異なるアプリケーション・ドメインの他のリソースでユーザーが自動的に認証されます。

現在の認証レベルとは、ユーザーの現在の認証レベルです。

ターゲット認証レベルとは、保護されたリソースへのアクセスに必要な認証レベルです。

認可

認可によって、どのコンポーネントから提供されるどのリソースに誰がアクセスできるかが識別されます。

認証スキーム

リソースまたはリソースのグループへのアクセスは、認証スキームという単一の認証プロセスで制御できます。認証スキームは、ユーザーの認証に必要なチャレンジ・メカニズムを定義する名前の付いたコンポーネントです。各認証スキームは、定義された認証モジュールも含む必要があります。

Oracle Access Managementコンソールまたはリモート登録ツールを使用してパートナを登録する場合、作成されるアプリケーション・ドメインは、デフォルト・スキームとして設定される認証スキームを使用するポリシーでシードされます。ポリシー作成中に使用されるデフォルトとして、既存の認証スキームを選択できます。

Authentipadチェックポイント

Authentipadチェックポイントは、使用するデバイスの目的に基づいて、そのデバイスのタイプを特定します。

ブロック済

ユーザーがブロック済になるのは、ポリシーの特定の条件がtrueになり、そのポリシーがこのような条件にブロック・アクションで応答するように設定されている場合です。該当する条件が変更されると、ユーザーはブロック済ではなくなる場合があります。「ブロック済」ステータスは必ずしも永続的なものではないため、解決に管理者のアクションを必要としない場合があります。たとえば、ユーザーがブロックされた原因が、ブロックされる国からログインしたことである場合、出国後はブロック済ではなくなる可能性があります。

チャレンジ・パラメータ

チャレンジ・パラメータは、Webゲートおよび資格証明コレクタ・モジュールによって使用および解釈される短いテキスト文字列で、その値で示された方法で動作します。チャレンジ・パラメータは、次の構文で指定します。

<parameter>=<value>

これは、Webゲートのリリース(10gと11g)に固有の構文ではありません。認証スキームは、Webゲートのリリースから独立しています。

チャレンジ質問

チャレンジ質問は、セカンダリ認証に使用される有限の質問リストです。

登録中、ユーザーにはメニューと呼ばれるいくつかのドロップダウン質問リストが提示されます。たとえば、3つの質問メニューが提示される場合があります。登録中、ユーザーはメニューごとに質問を1つ選択し、その回答を入力する必要があります。質問メニューごとに1つのみ質問を登録できます。これらの質問は、ユーザーの登録済質問になります。

OAAM管理内のルールによってチャレンジ質問がトリガーされると、OAAMサーバーでは、チャレンジ質問を表示し、ユーザーにとってセキュアな方法で回答を受け入れます。質問はQuestionPad、TextPadおよびその他の仮想認証デバイスで提示でき、この場合、チャレンジ質問はオーセンティケータのイメージまたは簡単なHTMLに埋め込まれます。

チェックポイント

チェックポイントは、Oracle Adaptive Access Managerがセッション内でルール・エンジンを使用してセキュリティ・データを収集および評価する特定のポイントです。

チェックポイントの例を次に示します。

- 認証前 - ルールはユーザーが認証プロセスを完了する前に実行されます。

- 認証後 - ルールはユーザーが正常に認証された後に実行されます。

様々なチェックポイントの詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のポリシー、ルールおよび条件の管理に関する項を参照してください。

委任認証プロトコル

委任認証プロトコル(DAP)チャレンジ・メカニズムでは、外部オプションを使用する標準チャレンジのFORMメカニズムと異なり、Access Managerが受け取ったトークンのアサーションを実行します。

デバイス

デバイスには、PC、ノートブック、携帯電話、スマートフォンまたはユーザーが使用するその他のWeb対応マシンがあります。

デバイスのフィンガープリント処理

デバイスのフィンガープリント処理では、デバイスに関する情報(ブラウザ・タイプ、ブラウザ・ヘッダー、オペレーティング・システム・タイプ、ロケールおよびその他の属性)が収集されます。フィンガープリント・データは、デバイスについてログイン・プロセス中に収集される、ログインに使用したデバイスの識別に使用できるデータを表します。フィンガープリント処理のプロセスでは、反射攻撃およびCookieベースの登録バイパス・プロセスからの保護を目的とした、ユーザーに対して一意であるフィンガープリントが生成されます。フィンガープリント詳細は、デバイスの識別、それがセキュアであるかどうかの確認および認証またはトランザクションのリスク・レベルの特定に役立ちます。

カスタマは通常、これらのデバイスを使用してログインします。デバイスには、PC、ノートブック、携帯電話、スマートフォンまたはその他のWeb対応マシンがあります。

ナレッジベース認証(KBA)

ナレッジベース認証(KBA)は、二次的な認証方式で、登録済チャレンジ質問に基づくインフラストラクチャを提供します。

エンドユーザーが、後にそのユーザーに対するチャレンジで使用される質問を選択し、回答を指定できるようにします。

セキュリティ管理には次のような内容が含まれます。

- チャレンジ質問および回答の登録を管理する登録ロジック

- チャレンジ・レスポンス処理で正しい回答をインテリジェントに検出する回答ロジック

- 登録時にユーザーが指定した回答の検証

詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のナレッジベース認証の管理に関する項を参照してください。

KeyPad

キーパッドは、パスワード、クレジット・カード番号などを入力するための仮想キーボードです。KeyPadによって、トロイの木馬やキーロギングからの保護が提供されます。

LDAPScheme

LDAPSchemeは、フォーム・チャレンジ・メソッドに基づくほとんどのディレクトリ・タイプのAccess Manager関連リソース(URL)を保護するために使用する認証スキームです。

マルチレベル認証

各認証スキームには認証レベルが必要です。この数値が低いほど、スキームが厳密ではなくなります。高いレベルの数値は、よりセキュアな認証メカニズムを示します。

シングル・サインオン(SSO)機能により、ユーザーは2つ以上の保護されたリソースまたはアプリケーションにシングル・サインオンでアクセスできます。特定のレベルのユーザーの認証に成功した後、ユーザーは、1つ以上のアプリケーション・ドメインで保護された1つ以上のリソースにアクセスできます。ただし、アプリケーション・ドメインで使用される認証スキームは、同じレベル(または下位のレベル)にする必要があります。ユーザーが現在のSSOトークンのレベルを超える認証レベルで保護されたリソースにアクセスする場合、再認証されます。ステップアップ認証の場合、高いレベルで示されるチャレンジに失敗しても、ユーザーは現在のレベルのアクセスを維持します。これは「追加認証」です。

詳細は、『Oracle Fusion Middleware Oracle Access Management管理者ガイド』の認証および共有ポリシー・コンポーネントの管理に関する項を参照してください。

Oracle Accessプロトコル(OAP)

Oracle Accessプロトコル(OAP)は、ユーザー認証および認可の間に、アクセス・システム・コンポーネント(OAMサーバー、Webゲートなど)間の通信を可能にします。このプロトコルは、以前NetPointアクセス・プロトコル(NAP)またはCOREidアクセス・プロトコルと呼ばれていました。

ワンタイム・パスワード(OTP)

ワンタイム・パスワードは、リスク・ベースのチャレンジ・ソリューションであり、構成済のアウト・オブ・バンド・チャネルを経由してエンド・ユーザーに送信されるサーバー生成のワンタイム・パスワードから構成されます。サポートされているOTPデリバリ・チャネルには、ショート・メッセージ・サービス(SMS)、電子メールおよびインスタント・メッセージがあります。OTPは、KBAチャレンジを補完するために、またはKBAのかわりに使用できます。また、OTPとKBAは、いずれも、デプロイメント内で他に必要となる、実質的にすべての認証タイプとともに使用できます。Oracle Adaptive Access Managerでは、チャレンジ・プロセッサ・フレームワークも提供されます。このフレームワークを使用すると、サード・パーティ認証製品またはサービスをOAAMリアルタイム・リスク評価と組み合せた、リスク・ベースのカスタム・チャレンジ・ソリューションを実装できます。

詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のOTP Anywhereの設定に関する項を参照してください。

Access ManagerとOracle Adaptive Access ManagerのTAP統合

Access ManagerとOracle Adaptive Access ManagerとのTAP統合では、OAAMサーバーは信頼できるパートナ・アプリケーションとして動作します。OAAMサーバーは厳密認証、リスクおよび不正分析の実行後にTrusted Authentication Protocol (TAP)を使用して認証済のユーザー名をOAMサーバーに送信し、OAMサーバーは保護されたリソースへリダイレクトする役割を果たします。

OAAM管理

すべての環境およびAdaptive Risk ManagerとAdaptive Strong Authenticatorの機能を対象とした管理用Webアプリケーションです。

OAMAdminConsoleScheme

Oracle Access Management管理コンソールの認証スキーム。

OAAMAdvanced

外部コンテキスト・タイプのリソースを保護する認証スキームです。OAAMの完全な統合が必要な場合、この認証スキームが使用されます。Webゲートは、パートナのフロント・エンド処理を行う必要があります。

OAAMBasic

デフォルト・コンテキスト・タイプのリソースを保護する認証スキームです。OAAMとAccess Managerとの基本統合が必要な場合、このスキームを使用する必要があります。ここでは、OTPなどの拡張機能はサポートされません。

OAAMサーバー

ネイティブ統合を除くすべてのデプロイメント・タイプで使用される、Adaptive Risk ManagerとAdaptive Strong Authenticationの機能、Webサービス、LDAP統合およびユーザーWebアプリケーションです。

ポリシー

ポリシーには、各チェックポイントでリスクのレベルを評価するために使用される、セキュリティ・ルールおよび構成が含まれます。

詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のポリシー、ルールおよび条件の管理に関する項を参照してください。

認証後ルール

ルールはユーザーが正常に認証された後に実行されます。

詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のポリシー、ルールおよび条件の管理に関する項を参照してください。

認証前ルール

ルールはユーザーが認証プロセスを完了する前に実行されます。

詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のポリシー、ルールおよび条件の管理に関する項を参照してください。

プロファイル

セキュリティ・フレーズ、イメージ、チャレンジ質問、チャレンジ(質問およびOTP)カウンタおよびOTPを含む、カスタマの登録情報です。

保護レベル

次の3つの保護レベルから選択します。

- 保護(デフォルト)。保護されているリソースは、様々な認証スキーム(LDAPなど)を使用する保護レベル認証ポリシーに関連付けられます。認可ポリシーは保護されているリソースに対して許可されます。レスポンス、制約、監査およびセッション管理は、リソースを保護するポリシーを使用して保護されているリソースに対して有効化されます。

- 非保護。保護されていないリソースは、様々な認証スキーム(LDAPなど)を使用する非保護レベル認証ポリシー(レベル0)に関連付けられます。認可ポリシーは保護されていないリソースに対して許可されますが、このようなアクセスを許可するための基本ポリシーが必要です。ただし、制約およびレスポンスが含まれる複雑なポリシーは不適切です。レスポンス、制約および監査は、リソースを保護するポリシーを使用して保護されていないリソースに対して有効化されます。セッション管理のみが有効化されていません。保護されていないリソースにアクセスすると、WebゲートからのOAMサーバー・チェックが引き起こされます(監査可能)。

- 除外(パブリック)。HTTPリソース・タイプのみが除外できます。通常はイメージ(*.jpg、*.png)などのセキュリティの区別がないファイルで、保護レベルが「除外」のリソースでは、認証、認可、レスポンス処理、セッション管理および監査に対するOAMサーバー・チェックは必要ありません。除外されたリソースは、Oracle Access Managementコンソール内のユーザー定義ポリシーには追加できません。除外されたリソースへのアクセスを許可している間、WebゲートはOAMサーバーにコンタクトしないため、アクセスは監査されません。最も標準的なリソース検証が、除外されたリソースに適用されます。ただし、リソースをポリシーに追加するときに、除外されたリソースはリストに表示されていません。リソースに関連付けられた認証または認可はありません。注意: リソース保護レベルが「保護」から「除外」に変更され、そのリソースに対するポリシーが存在する場合、リソースとポリシーとの関連付けを解除するまで、変更は失敗します。

登録

登録とは、登録処理、新しいアカウントのオープンまたは情報がユーザーから取得されるその他のイベントです。

登録処理中に、ユーザーは質問、イメージ、フレーズおよびデプロイメントでOTPがサポートされている場合には、OTP (電子メールや電話など)に登録するように求められます。正常に登録すると、OTPを第2認証として使用し、ユーザーにチャレンジできます。

リスク・スコア

OAAMのリスク・スコアリングは、有効なユーザー、デバイス、ロケーションなど、多数の不正検出入力の積です。これらの入力は、OAAM不正分析エンジン内部で重み付けされて分析されます。ポリシーによって、何十個もの属性とファクタに基づいてリスク・スコアが生成されます。ポリシー内のルールがどのように構成されているかに基づいて、よりリスクの高い状況に対しては昇格したリスク・スコアを生成し、よりリスクの低い状況に対しては低いスコアを生成できます。昇格の程度は、特定のリスクに割り当てられた重みによって調整できます。その後、ルール・エンジンでリスク・スコアが入力として使用されます。ルール・エンジンによって不正リスクが評価され、実行する必要のあるアクションが決定されます。

ルール

不正ルールを使用して、各チェックポイントでのリスクのレベルを評価します。ポリシーおよびルールの詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のOAAMのポリシーの概念およびリファレンスに関する項を参照してください。

ステップアップ認証

ステップアップ認証は、ユーザーがセッションですでにアクセスしたものより機密性の高いリソースにアクセスを試みると発生します。より機密性の高いリソースへのアクセス権を得るには、より高いレベルの保証が必要です。Access Managerリソースは、認証レベルによりランク付けされます。認証レベルでは、リソースの相対的な機密性を定義します。

たとえば、ユーザーが認証レベル3と定義されている企業ポータルのホームページにアクセスする場合、基本パスワード認証が必要となります。ポータルのホームページからリンクされているタイム・カード・アプリケーションは、ポータルのホームページより機密性が高く、認証レベル4として定義されます。このレベルでは、基本認証に加え、OAAMにより提供されるリスクベースの認証が必要となります。したがって、ユーザーが有効なユーザー名とパスワードでポータルにログインし、タイム・カード・リンクをクリックすると、そのデバイスはフィンガープリント処理され、リスク分析によってアクセスを許可するためにチャレンジ質問などの追加認証が必要かどうかが決定されます。

厳密認証

認証要素は、セキュリティ制約に従ってアクセスをリクエストする個人または他のエンティティのIDを認証または検証するために使用される、情報やプロセスです。2つの要素による認証(T-FA)は、2つの異なる要素を組み合せて認証に使用するシステムです。要素を1つではなく2つ使用すると、一般的に、認証の保証のレベルが高まります。

複数の要素を使用することを厳密認証またはマルチファクタ認証と呼ぶ場合があります。

TAP

TAPは、Trusted Authentication Protocolを表します。これは、サード・パーティにより認証が行われる場合およびAccess Managerが戻されたトークンをアサートする場合に使用されます。トークンをアサートした後、Access ManagerはそのCookieを作成し、通常のシングル・サインオン・フローを続行します。OAMサーバーと認証を行う外部のサード・パーティ間には信頼できるメカニズムが存在します。このシナリオでは、Access Managerはオーセンティケータではなくアサータとして機能します。

TAPScheme

これは、TAPを使用したAccess ManagerとOAAMとの統合で、リソースを保護するために使用される認証スキームです。異なるtapRedirectUrlを持つ2つのTAPパートナが必要な場合は、Oracle Access Managementコンソールを使用して新しい認証スキームを作成し、そのスキームを使用します。

構成されたこの認証スキームは、リクエストをアクセス・サーバーに送信する前に、コンテキスト固有の情報を収集できます。コンテキスト固有の情報は、情報の外部コールの形を取ることができます。

TextPad

通常のキーボードを使用してパスワードまたはPINを入力するためのパーソナライズされたデバイス。このデータ入力方法は、フィッシングからの防御に役立ちます。大規模なデプロイメントでは、TextPadがすべてのユーザーのデフォルトとしてデプロイされることが多く、その後、各ユーザーが必要に応じて個別に別のデバイスにアップグレードできます。ユーザーが登録した個人イメージおよびフレーズは、ユーザーが有効なサイトにログインするたびに表示され、ユーザーとサーバーとの間の共有シークレットとして機能します。

仮想オーセンティケータ

パスワードまたはPINを入力するためのパーソナライズされたデバイス、または認証資格証明を入力するためのデバイスで、保護されたWebアプリケーションとの対話の際にユーザーを保護します。仮想認証デバイスでは、認証資格証明の入力と送信のプロセスを強化し、エンド・ユーザーが有効なアプリケーションに対して認証していることを検証します。仮想オーセンティケータの詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』の仮想認証デバイスの使用および開発に関する項を参照してください。

Webエージェント

シングル・サインオン・エージェント(ポリシー施行エージェントまたは単純にエージェントとも呼ばれます)は、アクセス・クライアントとして機能する任意のフロントエンドのエンティティで、エンタープライズ・アプリケーション間でシングル・サインオンを可能にします。

保護されたリソースへのアクセスを安全にするには、Webサーバーやアプリケーション・サーバー、サード・パーティアプリケーションを登録済のポリシー強制エージェントに関連付ける必要があります。エージェントはHTTPリクエストのフィルタとして機能し、アプリケーションが存在するWebサーバーをホストするコンピュータ上にインストールする必要があります。

個々のエージェントは、エージェントとOAMサーバー間で必要な信頼を設定するためにAccess Manager 11gに登録する必要があります。登録されたエージェントは、認証タスクをOAMサーバーに委任します。

Webゲート

アクセス・クライアントとして機能するWebサーバー・プラグインです。Webゲートは、WebリソースのHTTPリクエストを捕捉して、認証および認可のためにOAMサーバーに転送します。

8.3 OAAMとAccess Managerとの基本統合

ネイティブ統合であるOAAMとAccess Managerとの基本統合では、Identity Management Middleware WebLogicドメイン内のOAMサーバーとOAAM管理サーバー、および動作するOAAMデータベースが必要です。この統合で使用できるチャレンジ・メカニズムは、ナレッジベース認証(KBA)のみです。

OAAM管理サーバーは、Access Manager管理者により、ポリシーのインポートおよびエクスポート、新しいポリシーの作成、セッションの表示およびOracle Adaptive Access Manager機能の構成に使用されます。ポリシーがインポート、エクスポートまたは構成されると、その変更がOAAMデータベースに保存されます。

Oracle Adaptive Access Managerは、拡張機能ライブラリを通じてAccess Managerに統合され、これらを直接使用します。このデプロイメントでは、ルール・エンジンおよびOracle Adaptive Access Managerのランタイム機能は、これらのライブラリを使用して提供されるため、OAAMサーバーは必要ありません。ユーザーが登録フローに入ると、Access Managerは、ユーザーに対して仮想認証デバイスを表示し、OAAMライブラリを使用してAPIコールを行うことによって認証前ポリシーを実行します。OAAMライブラリは、内部的にJDBCコールを行って、ユーザーに関連するデータをOAAMデータベースに保存します。

この項では、OAAMとAccess Managerとの基本統合の構成方法について説明します。

関連項目:

第9.1.1項「厳密認証のデプロイメント・オプション」

次のトピックでは、このタイプの統合を実装する方法について説明します。

- OAAMとAccess Managerとの基本統合の前提条件

- OAAMとAccess Managerとの基本統合の構成

8.3.1 OAAMとAccess Managerとの基本統合の前提条件

Oracle Adaptive Access ManagerとAccess Managerを統合する前に、依存関係を含む必要なすべてのコンポーネントをインストールし、後に続く統合タスクに備えて環境を構成しておく必要があります。

注意:

インストールおよび構成に関する主な情報はこの項で提供しています。ただし、ここでは、すべてのコンポーネントの前提条件、依存関係およびインストール手順が示されているわけではありません。必要に応じて情報を環境に適応させてください。

完全なインストール情報については、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』の説明に従ってください。

表8-3に、統合タスクを実行する前にインストールおよび構成する必要のあるコンポーネントを示します。

表8-3 統合に必要なコンポーネント

コンポーネント

情報

Oracleデータベース

Oracle Identity and Access Managementをインストールする前に、Oracle Databaseがシステムにインストールされていることを確認してください。関連するOracle Identity and Access Managementコンポーネントをインストールするには、データベースが稼働している必要があります。データベースは、Oracle Identity and Access Managementコンポーネントのインストール先と同じシステム上にある必要はありません。

データベース要件の詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のデータベースの前提条件に関する項を参照してください。

保証されたデータベースの詳細は、Oracle Identity and Access Management 11gリリース2 (11.1.2)のOracle Fusion Middlewareのシステム要件と仕様のドキュメントのデータベース要件に関するトピックを参照してください。

Oracle WebLogic Server

Oracle WebLogic Serverのインストールの詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverインストレーション・ガイド』を参照してください。

Access ManagerおよびOracle Adaptive Access Managerのスキーマ

Oracle Fusion Middlewareリポジトリ作成ユーティリティ(RCU)を実行し、Access ManagerおよびOracle Adaptive Access Managerのスキーマを作成してください。

注意: Oracle Identity and Access Management 11gリリース2 (11.1.2.1.0)コンポーネントのデータベース・スキーマをインストールする前に、Oracle Fusion Middleware Repository Creation Utility (RCU)の11gリリース2 (11.1.2.1.0)バージョンを使用する必要があります。

Oracle Fusion Middlewareリポジトリ作成ユーティリティ(RCU)はOracle Technology Network (OTN) Webサイトで入手できます。RCUの使用方法の詳細は、『Oracle Fusion Middleware Repository Creation Utilityユーザーズ・ガイド』を参照してください。

Oracle DatabaseのRCU要件の詳細は、Oracle Identity and Access Management 11gリリース2 (11.1.2)のOracle Fusion Middlewareのシステム要件と仕様のドキュメントでOracle DatabaseのRCU要件に関する項を参照してください。

Access ManagerとOracle Adaptive Access Manager

Access ManagerおよびOracle Adaptive Access Managerをインストールします。

Access Managerのインストールおよび構成については、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Identity and Access Management (11.1.2)のインストールと構成に関する項およびOracle Access Managementの構成に関する項を参照してください。

Oracle Adaptive Access Managerのインストールおよび構成については、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Identity and Access Management (11.1.2)のインストールと構成に関する項およびOracle Adaptive Access Managerの構成に関する項を参照してください。

Oracle Identity Management 11g Fusion Middleware構成ウィザードを実行して、Oracle Adaptive Access ManagerおよびAccess Managerを新しいWebLogicドメインまたは既存のWebLogicドメインで構成します。これらは同じドメインに配置することも、別のドメインに配置することもできます。

Oracle WebLogic Server管理ドメインの詳細は、『Oracle Fusion Middleware Oracle WebLogic Server ドメイン構成の理解』のOracle WebLogic Serverドメインの理解に関する項を参照してください。

構成ウィザードを使用したWebLogic Serverドメインの作成または拡張方法の詳細は、『Oracle Fusion Middleware構成ウィザードによるドメインの作成』を参照してください。

注意: ソフトウェアにパッチを適用して最新バージョンにする必要もあります。

8.3.2 WebLogic Serverの起動

WebLogicドメインのWebLogic管理サーバーを起動します。

DOMAIN_HOME/bin/startWeblogic.sh

8.3.3 OAAMとAccess Managerとの基本統合の構成

Access ManagerとOracle Adaptive Access Managerの統合を実装するには、この項の手順に従います。

アプリケーションを保護するポリシーの作成

1. 次のOracle Access Managementコンソールにログインします。

http://oam_adminserver_host:oam_adminserver_port/oamconsole

2. 「IDMDomainAgent」の下の「リソース」を選択します。

3. 保護されたリソースを追加します。
たとえば、リソースの次の情報を指定します。

- ホスト識別子: IDMDomain

- リソースURL: /resource/.../*

新しい認証ポリシーの作成

「IDMDomainAgent」で新しい認証ポリシーを作成し、認証スキームをOAAMBasicに設定します。

この手順では、保護されたリソースをOAAMBasic認証スキームに関連付けています。

1. 左側のペインで「アプリケーション・ドメイン」をダブルクリックしてから「検索」をクリックし、検索結果でIAMスイートをクリックします。

2. 「認証ポリシー」タブをクリックし、「認証ポリシーの作成」ボタンをクリックします。

3. 次の一般的なポリシーの詳細を追加します。
名前: 左側のペインで識別子として使用される一意の名前。たとえば、HighPolicyなどです。

認証スキーム: OAAMBasic

4. グローバル・ポリシー要素および指定を追加します。
説明(オプション): 認証ポリシーを説明するオプションの一意のテキスト。

成功URL: 認証の成功時に使用されるリダイレクトURL。

「失敗URL」: 認証の失敗時に使用されるリダイレクトURL。

5. リソースを追加します。
リストの中からリソースのURLを選択します。リストされているURLは、以前にアプリケーション・ドメインに追加されました。認証ポリシーで保護する1つ以上のリソースを追加できます。リソース定義は、ポリシーに含める前にアプリケーション・ドメイン内に存在する必要があります。

1. 「認証ポリシー」ページで「リソース」タブをクリックします。

2. タブの「追加」ボタンをクリックします。

3. リストの中からURLを選択します。たとえば、/higherriskresourceなどです。

6. 「適用」をクリックして変更を保存し、確認ウィンドウを閉じます。

7. ポリシー・レスポンスを追加します。
レスポンスは、Webエージェントで実行される必須処理(認証後のアクション)です。認証に成功すると、保護されたアプリケーションをホストするアプリケーション・サーバーは、これらのレスポンスに基づいてユーザー・アイデンティティティをアサートできます。認証に失敗すると、ブラウザはリクエストを事前構成されたURLにリダイレクトします。

8. 終了したらページを閉じます。

新しい認可ポリシーの作成

新しい認可ポリシーを作成します。

1. 左側のペインで「認可ポリシー」をダブルクリックしてから「作成」ボタンをダブルクリックします。

2. 認可ポリシーの一意の名前を入力します。

3. 「リソース」タブで、「追加」ボタンをクリックします。

4. 提供されたリストから、リソースURLをクリックします。
リソースURL: IDMDomain:/resource/.../*

5. 「適用」をクリックして変更を保存し、確認ウィンドウを閉じます。

OAAM管理コンソールにログインする権限を持つユーザーの作成

デフォルトで、OAAM管理コンソールにログインする適切な権限を持つユーザーはありません。OAAM管理コンソールにログインするための適切な権限があるユーザーを作成し、必要なグループをそのユーザーに付与する必要があります。

1. WebLogicドメインのOracle WebLogic管理コンソールにログインします。

2. 左側のペインの「ドメイン構造」で、「セキュリティ・レルム」を選択します。

3. 「セキュリティ・レルムのサマリー」ページで、構成するレルムを選択します(たとえば、myrealm)。

4. 「レルム名」ページの「設定」で、「ユーザーとグループ」→「ユーザー」を選択します。

5. 「新規」をクリックし、セキュリティ・レルムにユーザー(user1など)を作成するのに必要な情報を指定します。

- 名前: oaam_admin_username

- 説明: オプション

- プロバイダ: DefaultAuthenticator

- パスワード/確認

6. 新規作成したユーザーのuser1をクリックします。

7. 「グループ」タブをクリックします。

8. OAAMキーワードのあるグループをすべて、ユーザーuser1に割り当てます。
これらのグループを左(使用可能)から右(選択済)に移動します。

9. 「保存」をクリックします。

oam-config.xmlの変更

oam-config.xmlファイルを見つけて手動で変更します。

oam-config.xmlファイルは、すべてのAccess Manager関連のシステム構成データを含んでおり、DOMAIN_HOME/config/fmwconfigディレクトリにあります。

次の例に示されているように、OAAMEnabledプロパティをtrueに設定します。

<Setting Name="OAAM" Type="htf:map">
<Setting Name="OAAMEnabled" Type="xsd:boolean">true</Setting>
<Setting Name="passwordPage" Type="xsd:string">/pages/oaam/password.jsp</Setting>
<Setting Name="challengePage" Type="xsd:string">/pages/oaam/challenge.jsp</Setting>
<Setting Name="registerImagePhrasePage" Type="xsd:string">/pages/oaam/registerImagePhrase.jsp</Setting>
<Setting Name="registerQuestionsPage" Type="xsd:string">/pages/oaam/registerQuestions.jsp</Setting>

configureOAAMのWLSTコマンドを使用してデータソースを作成し、それをターゲットとしてOAMサーバーに関連付けます。oam-config.xmlでそのプロパティを有効化する場合は、「OAAMとAccess Managerとの基本統合におけるconfigureOAAMのWLSTコマンドを使用したデータソースの作成」を参照してください。

OAAM管理サーバーの起動

OAAM管理サーバーのoaam_admin_server1を起動し、新しく作成した管理対象サーバーをドメインに登録します。

DOMAIN_HOME/bin/startManagedWeblogic.sh oaam_admin_server1

OAAMスナップショットのインポート

Oracle Adaptive Access Managerには、ポリシー、ルール、チャレンジ質問、依存コンポーネントおよび構成のフル・スナップショットが付属しています。このスナップショットは、OAAMの最小構成で必要となります。次の手順に従ってスナップショットをシステムにインポートします。

1. OAAM管理コンソールにログインします。

http://oaam_managed_server_host:oaam_admin_managed_server_port/oaam_admin

2. 次の手順に従って、スナップショット・ファイルをMW_HOME/IDM_ORACLE_HOME/oaam/initディレクトリからシステムにロードします。

1. 左側のペインで、「環境」ノードの下の「システム・スナップショット」を開きます。

2. 「ファイルからロード」ボタンをクリックします。
「スナップショットのロードおよびリストア」画面が表示されます。

3. 「現在のシステムをすぐにバックアップ」の選択を解除し、「続行」をクリックします。

4. 現在のシステムをバックアップしないように選択したため続行するかどうかを尋ねるメッセージのダイアログが表示されたら、「続行」をクリックします。
ロードするスナップショットを選択するための「スナップショットのロードおよびリストア」ページが表示されます。

5. oaam_base_snapshot.zipを参照し、「ロード」ボタンをクリックしてスナップショットをシステム・データベースにロードします。
デフォルトのoaam_base_snapshot.zipは、OAAM_HOME/oaam/initディレクトリにあります。

6. 「OK」→「リストア」をクリックします。

操作を正しく行うには、Oracle Adaptive Access Managerに付属のデフォルトのベース・ポリシーとチャレンジ質問がシステムにインポートされていることを確認します。詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のOracle Adaptive Access Manager環境の設定に関する項を参照してください。

Oracle Adaptive Access Manager環境でポリシーとチャレンジ質問が正常に使用できない場合、動作しないURLが表示されることがあります。

OAAM管理サーバーのシャットダウン

OAAM管理サーバーのoaam_admin_server1をシャットダウンします。

DOMAIN_HOME/bin/stopManagedWeblogic.sh oaam_admin_server1

データソースの作成

1. Oracle WebLogic管理コンソールにログインします。

http://weblogic_admin_server:7001/console

2. Oracle Adaptive Access ManagerがAccess Managerと同じWebLogicドメイン内に構成されていない場合は、Access Managerに対して次の手順を実行します。

- 次のJNDI名のデータソースを作成します。

jdbc/OAAM_SERVER_DB_DS

注意:

データソースの名前には任意の有効な文字列を使用できますが、JNDI名は前述のものと同じである必要があります。

- Oracle Adaptive Access Manager構成の一環として作成したスキーマに対して、OAAMデータベースの接続詳細を指定します。

3. 「サービス」→「データベース・リソース」をクリックし、「OAAM_SERVER_DB_DS」リソースを見つけます。

4. WebLogic管理コンソールの左上隅にある「ロック」ボタンをクリックして、環境をロックします。

5. OAAM_SERVER_DB_DSリソースを開き、「ターゲット」タブをクリックします。そこに使用可能なWebLogicサーバーのリストが表示されます。

6. 「管理サーバー」および「oam_server1」をターゲットとしてデータソースに関連付けます。

7. Oracle WebLogic管理コンソールの左上隅にある「アクティブ化」ボタンをクリックします。

構成のテスト

1. 構成を確認するために、それぞれ1つのリソースを保護している2つのエージェントをリモート登録します。

2. Oracle Access Managementコンソールを使用して、最初のリソースを認証フローのOAAMBasicポリシーに関連付けます。2つ目のリソースをLDAPSchemeに関連付けます。

関連項目:

『Oracle Fusion Middleware Oracle Access Management管理者ガイド』の認証スキームの管理に関する項

3. これまでに構成済の保護されたリソースにアクセスして、構成を検証します。
ユーザー名を入力するプロンプトが表示されます。さらに別画面でパスワードを入力するプロンプトが表示されます。

ユーザー名およびパスワードが検証されたら、3つのチャレンジ質問を選択し、これらに回答するように求められます。完了後に、保護されたアプリケーションが表示されます。

8.4 OAAMとAccess Managerとの拡張統合

Oracle Adaptive Access ManagerをAccess Managerと統合すると、企業は、アプリケーションの保護のレベルを大幅に向上させる高度なアクセス・セキュリティ機能を使用できるようになります。フィッシング対策、マルウェア対策、デバイス・フィンガープリント、動作プロファイリング、地理的位置マッピング、リアルタイム・リスク分析、複数のリスク・ベースのチャレンジ・メカニズム(ワンタイム・パスワードおよびナレッジベース認証質問など)の各機能により、アクセス・セキュリティのレベルを向上させることができます。

この項では、Oracle Adaptive Access ManagerとAccess Managerを拡張統合として統合する方法について説明します。

Access ManagerとOAAMとのTAP統合では、OAAM Serverは信頼できるパートナ・アプリケーションとして動作します。OAAMサーバーでは、厳密認証、リスクおよび不正分析の実行後にTrusted Authentication Protocol (TAP)を使用して認証済のユーザー名をOAMサーバーに送信します。するとOAMサーバーがユーザーを保護されたリソースにリダイレクトします。

OAAMとAccess Managerとの拡張統合シナリオには、Oracle Identity Managerがあるものとないものがあります。

Oracle Identity Managerあり

Oracle Identity Managerとの統合により、パスワードを忘れた場合やパスワードの変更フローなど、より豊富なパスワード管理機能をユーザーが利用できるようになります。

統合の詳細は、第9章「Access Manager、OAAMおよびOIMの統合」を参照してください。

Oracle Identity Managerなし

環境にOracle Identity Managerが含まれていない場合は、この章で説明されている統合手順に従います。

8.4.1 OAAMとAccess Managerとの拡張統合のロードマップ

表8-4は、Oracle Adaptive Access ManagerとAccess Managerとの統合のための大まかなタスクのリストです。

この構成手順では、Oracle Adaptive Access ManagerとAccess Managerをすぐに使用できる統合を使用して統合することを前提としています。

表8-4 Access ManagerとOracle Adaptive Access Managerとの統合フロー

番号

タスク

情報

1

統合の前に必要なすべてのコンポーネントがインストールおよび構成されていることを確認します。

詳細は、「OAAMとAccess Managerとの拡張統合の前提条件」を参照してください。

2

Access ManagerとOAAMの管理コンソールおよび管理対象サーバーが実行されていることを確認します。

詳細は、「サーバーの再起動」を参照してください。

3

OAAMユーザーを作成します。OAAM管理コンソールにアクセスする前に、管理ユーザーを作成する必要があります。

詳細は、「OAAM管理ユーザーおよびOAAMグループの作成」を参照してください。

4

OAAMベース・スナップショットをインポートします。Oracle Adaptive Access Managerには、ポリシー、依存コンポーネントおよび構成のフル・スナップショットが付属しています。Oracle Adaptive Access Managerを動作させるには、スナップショットをシステムにインポートする必要があります。

詳細は、「Oracle Adaptive Access Managerスナップショットのインポート」を参照してください。

5

Access Managerが正しく設定されたことを確認します。Oracle Access Managementコンソールに正常にログインできる必要があります。

詳細は、「Access Managerの初期構成の検証」を参照してください。

6

OAAMが正しく設定されたことを確認します。

詳細は、「Oracle Adaptive Access Managerの初期構成の検証」を参照してください。

7

Webゲート・エージェントを、エージェントとOAMサーバー間で必要な信頼メカニズムを設定するためにAccess Manager 11gに登録します。登録後のエージェントは、OAMサーバーとそのサービスとの間の通信と協調して、HTTP/HTTPSリクエストのフィルタとして機能します。エージェントは、Access Managerによって保護されたリソースへのリクエストを捕捉して、Access Managerと連動することでアクセス要件を実現します。

詳細は、「Oracle Access Managementコンソールを使用したWebゲートのAccess Manager 11gへの登録」を参照してください。

8

OAAMサーバーを信頼できるパートナ・アプリケーションとして動作するようにAccess Managerに登録します。パートナ・アプリケーションは、認証機能をAccess Manager 11gに委任するアプリケーションです。

詳細は、「OAAM Serverのパートナ・アプリケーションとしてのAccess Managerへの登録」を参照してください。

9

エージェント・パスワードを追加します。Access Managerがインストールされると、IAMSuiteAgentというデフォルトのエージェント・プロファイルが作成されます。このプロファイルは、Access Managerとの統合の際にOracle Adaptive Access Managerによって使用されます。IAMSuiteAgentプロファイルが最初に作成されるときには、パスワードはありません。プロファイルがOracle Adaptive Access Managerで統合に使用される前に、パスワードを設定する必要があります。

詳細は、「IAMSuiteAgentプロファイルへのパスワードの追加」を参照してください。

10

IAMSuiteAgentを更新します。

詳細は、「別のコンソールのドメイン・エージェントを使用した場合のドメイン・エージェント定義の更新」を参照してください。

11

Oracle Access Managementテスターを使用してTAPパートナ登録を検証します。

詳細は、「TAPパートナ登録の検証」を参照してください。

12

OAAMでTAP統合プロパティを設定します。

詳細は、「OAAMでのAccess Manager TAP統合プロパティの設定」を参照してください。

13

OAAM TAPSchemeを使用するように統合を構成して、IAMSuiteAgentアプリケーション・ドメイン内のIdentity Management製品リソースを保護します。

詳細は、「TAPSchemeを使用してIAMSuiteAgentアプリケーション・ドメイン内のIdentity Management製品リソースを保護するための統合の構成」を参照してください。

14

ポリシーで保護されたリソースのポリシーでOAAM TAPSchemeを使用してリソースが保護されるように認証スキームを構成します。

詳細は、「TAPSchemeにより保護されるリソースの構成」を参照してください。

15

Access ManagerとOracle Adaptive Access Managerの統合を検証します。

詳細は、「Access ManagerとOracle Adaptive Access Managerの統合の検証」を参照してください。

8.4.2 OAAMとAccess Managerとの拡張統合の前提条件

Oracle Adaptive Access ManagerをAccess Managerとともに構成する前に、依存関係を含む必要なすべてのコンポーネントをインストールし、後に続く統合タスクに備えて環境を構成しておく必要があります。

注意:

インストールおよび構成に関する主な情報はこの項で提供しています。ただし、ここでは、すべてのコンポーネントの前提条件、依存関係およびインストール手順が示されているわけではありません。必要に応じて情報を環境に適応させてください。

完全なインストール情報については、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』の説明に従ってください。

表8-5に、統合タスクを実行する前にインストールおよび構成する必要のあるコンポーネントを示します。

表8-5 統合に必要なコンポーネント

コンポーネント

情報

Oracle HTTP Server

HTTP Serverのインストールの詳細は、『Oracle Fusion Middleware Oracle Web Tierインストレーション・ガイド』を参照してください。

Oracle Access Manager 10gまたはAccess Manager 11gエージェント(Webゲート)

Oracle Access Management 11g Webゲートのインストールの詳細は、『Oracle Fusion Middleware WebGates for Oracle Access Managerのインストール』のOracle HTTP Server 11g WebGate for OAMのインストールと構成に関する項を参照してください。

Oracle Access Manager 10g Webゲートのインストールの詳細は、『Oracle Fusion Middleware Oracle Access Management管理者ガイド』の10g WebゲートのAccess Manager 11gへの登録および管理に関する項を参照してください。

注意: Oracle HTTP Server 11gリリース2 WebGate for Access Managerは、Oracle IdentityコンポーネントとAccess Managementコンポーネント間の統合を設定するOracle Identity and Access Management環境での使用を意図したものではありません。

Oracleデータベース

Access ManagerおよびOracle Adaptive Access Managerをインストールする前に、システムにOracle Databaseがインストールされていることを確認してください。製品をインストールするには、データベースが実行されている必要があります。

詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のデータベースの前提条件に関する項を参照してください。

保証されたデータベースの詳細は、Oracle Identity and Access Management 11gリリース2 (11.1.2)のOracle Fusion Middlewareのシステム要件と仕様のドキュメントのデータベース要件に関するトピックを参照してください。

Repository Creation Utility (RCU)

リポジトリ作成ユーティリティ(RCU)をインストールします。Access ManagerおよびOAAMのデータベース・スキーマを作成するために必要です。

RCUはOracle Technology Network (OTN) Webサイトで入手できます。注意: Oracle Identity and Access Management 11gリリース2 (11.1.2.1.0)コンポーネントのデータベース・スキーマをインストールする前に、RCUの11gリリース2 (11.1.2.1.0)バージョンを使用する必要があります。RCUの使用方法の詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Fusion Middlewareリポジトリ作成ユーティリティ(RCU)を使用したデータベース・スキーマの作成に関する項および『Oracle Fusion Middleware Repository Creation Utilityユーザーズ・ガイド』を参照してください。

Oracle DatabaseのRCU要件の詳細は、Oracle Identity and Access Management 11gリリース2 (11.1.2)のOracle Fusion Middlewareのシステム要件と仕様のドキュメントでOracle DatabaseのRCU要件に関する項を参照してください。

Access ManagerおよびOracle Adaptive Access Managerのスキーマ

Oracle Fusion Middlewareリポジトリ作成ユーティリティ(RCU)を実行し、Access ManagerおよびOracle Adaptive Access Managerのスキーマをデータベースにロードしてください。

注意: スキーマを作成する前に、データベースとリスナーが実行されていることを確認してください。

Oracle WebLogic Server

WebLogic Serverをインストールします。

Oracle WebLogic Serverのインストールの詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverインストレーション・ガイド』を参照してください。

Access Manager

Access Managerをインストールおよび構成します。

インストール時に、Access Managerはデータベース・ポリシー・ストアとともに構成されます。Access ManagerとOracle Adaptive Access Managerの接続には、データベース・ポリシー・ストアが必要です。

新規または既存のWebLogicドメインでのAccess Managerの構成については、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Access Managerの構成に関する項を参照してください。

さらに、Access ManagerをOPENモード、SIMPLEモードまたはCERTモードで構成する方法については、Oracle Fusion Middleware Oracle Access Manager管理者ガイドの通信の保護に関する項を参照してください。

Oracle Adaptive Access Manager

Oracle Adaptive Access Managerをインストールおよび構成します。

Oracle Adaptive Access Managerのインストールおよび構成については、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Identity and Access Management (11.1.2)のインストールと構成に関する項およびOracle Adaptive Access Managerの構成に関する項を参照してください。

必要に応じて、Oracle Access ManagerおよびOracle Adaptive Access Managerを別のWebLogicドメインまたは同じWebLogicドメインにインストールできます。

Oracle WebLogic Server管理ドメインの詳細は、『Oracle Fusion Middleware Oracle WebLogic Server ドメイン構成の理解』のOracle WebLogic Serverドメインの理解に関する項を参照してください。

構成ウィザードを使用したWebLogic Serverドメインの作成または拡張方法の詳細は、『Oracle Fusion Middleware構成ウィザードによるドメインの作成』を参照してください。

複数のドメインに対するインストールでは、oaam.csf.useMBeansプロパティをtrueに設定する必要があります。このパラメータの設定の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』の資格証明ストア・フレームワーク(CSF)構成の設定に関する項を参照してください。

Identity Management Suiteのインストールの詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』を参照してください。

8.4.3 サーバーの再起動

この項のタスクを実行する前に、Oracle Access ManagementコンソールおよびOAAM管理コンソールと管理対象サーバーが稼働していることを確認します。サーバーを再起動するには、次の手順を実行します。

1. WebLogic管理サーバーを起動します。

OAM_DOMAIN_HOME/bin/startWeblogic.sh

OAAMが異なるWebLogicドメインにある場合、OAAM_Domain_HomeにあるWebLogic管理サーバーも起動する必要があります。

OAAM_DOMAIN_HOME/bin/startWeblogic.sh

OAM_DOMAIN_HOMEはAccess Managerを含むWebLogicドメイン、OAAM_DOMAIN_HOMEはOAAMを含むWebLogicドメインです。

2. OAMサーバーをホストしている管理対象サーバーを起動します。

OAM_DOMAIN_HOME/bin/startManagedWeblogic.sh oam_server1

3. OAAM管理サーバーをホストしている管理対象サーバーを起動します。

OAAM_DOMAIN_HOME/bin/startManagedWeblogic.sh oaam_admin_server1

4. Oracle Adaptive Access Managerランタイム・サーバーをホストしている管理対象サーバーを起動します。

OAAM_DOMAIN_HOME/bin/startManagedWeblogic.sh oaam_server_server1

8.4.4 OAAM管理ユーザーおよびOAAMグループの作成

Oracle Adaptive Access ManagerとAccess Managerを統合する前に、OAAM管理コンソールが保護されているかどうかを考慮する必要があります。OAAM管理コンソールにアクセスするには、管理ユーザーを作成する必要があります。

- OAAM管理コンソールを保護する場合は、外部LDAPストアでユーザーおよびグループを構成します。詳細は、第2章「idmConfigToolコマンドの使用方法」を参照してください。
または

- OAAM管理コンソールを保護しない場合は、WebLogic管理コンソールを使用して管理ユーザーを作成します。
OAAM管理コンソールの保護を無効にするには、第8.5.5項「OAAM管理コンソールの保護の無効化」を参照してください。

WebLogic管理コンソールで管理ユーザーを作成するには、次の手順に従います。

1. WebLogicドメインのOracle WebLogic管理コンソールにログインします。

2. 左側のペインの「ドメイン構造」タブで、「セキュリティ・レルム」を選択します。

3. 「セキュリティ・レルムのサマリー」ページで、構成するレルムを選択します(たとえば、myrealm)。

4. 「レルム名」ページの「設定」で、「ユーザーとグループ」→「ユーザー」を選択します。

5. 「新規」をクリックし、セキュリティ・レルムにユーザー(user1など)を作成するのに必要な情報を指定します。

- 名前: oaam_admin_username

- 説明: オプション

- プロバイダ: DefaultAuthenticator

- パスワード/確認

6. 新規作成したユーザーのuser1をクリックします。

7. 「グループ」タブをクリックします。

8. OAAMキーワードのあるグループをすべて、ユーザーuser1に割り当てます。
これらのグループを左(使用可能)から右(選択済)に移動します。

9. 「保存」をクリックして、変更を保存します。

8.4.5 Oracle Adaptive Access Managerスナップショットのインポート

Oracle Adaptive Access Managerには、ポリシー、ルール、チャレンジ質問、依存コンポーネントおよび構成のフル・スナップショットが付属しています。このスナップショットは、Oracle Adaptive Access Managerの最小構成で必要となります。次の手順に従ってスナップショットをシステムにインポートします。

1. 新たに作成したユーザーでOAAM管理コンソールにログインします。

http://oaam_managed_server_host:oaam_admin_managed_server_port/oaam_admin

2. ナビゲーション・ツリーで、「環境」にある「システム・スナップショット」を開きます。
システム・スナップショット検索ページが表示されます。

3. 右上隅にある「ファイルからロード」ボタンをクリックします。
「スナップショットのロードおよびリストア」画面が表示されます。

4. 「現在のシステムをすぐにバックアップ」の選択を解除し、「続行」をクリックします。

5. 現在のシステムをバックアップしないように選択したため続行するかどうかを尋ねるメッセージのダイアログが表示されたら、「続行」をクリックします。

6. 「ファイルの選択」ボタンをクリックします。

7. スナップショットをロードする準備が整ったので、ロードするスナップショットのファイル名を入力できるダイアログで「参照」ボタンをクリックします。スナップショット・ファイルが配置されているディレクトリにナビゲートする画面が表示されます。「Open」をクリックします。「ロード」ボタンをクリックして、スナップショットをシステムにロードします。
スナップショット・ファイルoaam_base_snapshot.zipは、OAAMベース・コンテンツが含まれているOracle_IDM1/oaam/initディレクトリにあります。

8. 「OK」をクリックします。
スナップショットをメモリーにロードしましたが、スナップショット内のアイテムはまだ有効になっていません。「リストア」ボタンをクリックするまで、スナップショット内のアイテムは適用されません。

9. スナップショットを適用するには、「リストア」をクリックします。
スナップショットを適用したら、それが「システム・スナップショット」ページに表示されていることを確認します。

操作を正しく行うには、Oracle Adaptive Access Managerに付属のデフォルトのベース・ポリシーとチャレンジ質問がシステムにインポートされていることを確認します。詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のOracle Adaptive Access Manager環境の設定に関する項を参照してください。

Oracle Adaptive Access Manager環境でポリシーとチャレンジ質問が正常に使用できない場合、動作しないURLが表示されることがあります。

8.4.6 Access Managerの初期構成の検証

「Oracle Access Managementへようこそ」ページにアクセスして、Access Managerが正しく設定されていることを確認します。

1. 次のOracle Access Managementコンソールにログインします。

http://oam_adminserver_host:oam_adminserver_port/oamconsole

ログインのため、OAMサーバーにリダイレクトされます。

2. WebLogicの管理ユーザー名とパスワードを入力します。
ログインに成功すると、「Oracle Access Managementへようこそ」ページが表示されます。

8.4.7 Oracle Adaptive Access Managerの初期構成の検証

OAAMサーバーにアクセスして、Oracle Adaptive Access Managerが正しく設定されていることを確認します。

1. OAAMサーバーにログインします。

http://host:port/oaam_server

2. ユーザー名を指定し、「続行」をクリックします。

3. Oracle Access ManagerとOracle Adaptive Access Managerの統合がまだ行われていないため、testとしてパスワードを指定します。このパスワードは、統合後すぐに変更する必要があります。

4. 仮想認証デバイス上の「入力」ボタンをクリックします。

5. 「続行」をクリックし、新しいユーザーを登録します。

6. 「続行」をクリックして、セキュリティ・デバイス、イメージおよびフレーズを受け入れます。

7. 質問を選択し、回答を指定して、ナレッジベース認証(KBA)の登録を行います。
ログインに成功すれば、初期構成が正しく行われたことになります。

注意:

テスト・ログインURL /oaam_serverは、Access Managerの統合に進む前に、OAAM構成が動作していることを検証するため使用されます。このURLは、Access ManagerとOAAMの統合後の使用を意図したものではありません。詳細は、第8.7.2.4項「OAAMのテスト・ログインURL/Access ManagerとOracle Adaptive Access Managerの統合後のoaam_serverでの障害」を参照してください。

8.4.8 Oracle Access Managementコンソールを使用したWebゲートのAccess Manager 11gへの登録

Webゲート・エージェントを、エージェントとOAMサーバー間で必要な信頼メカニズムを設定するためにAccess Manager 11gに登録します。登録後のエージェントは、OAMサーバーとそのサービスとの間の通信と協調して、HTTP/HTTPSリクエストのフィルタとして機能します。エージェントは、Access Managerによって保護されたリソースへのリクエストを捕捉して、Access Managerと連動することでアクセス要件を実現します。

Access ManagerとともにWebゲートをインストールする前に、Oracle Technology NetworkからOracle Fusion Middlewareでサポートされているシステム構成を確認して、デプロイメントに使用する10gまたは11g Webゲートの証明書情報を検索します。この項では、11g WebゲートのAccess Manager 11gへの登録について説明します。Access Manager 11gで使用するための10g Webゲートのインストールおよび登録の詳細は、『Oracle Fusion Middleware Oracle Access Management管理者ガイド』の10g WebゲートのAccess Manager 11gへの登録および管理に関する項を参照してください。

8.4.8.1 Webゲート登録の前提条件

WebゲートをAccess Managerに登録するには、依存関係を含む次の必須コンポーネントがインストールおよび構成されていることを確認します。

- Oracle HTTP Server用のWebLogic Server

- Oracle Web Tierインストーラを使用してOracle HTTP Serverがインストールおよび構成されていること。OHS_Homeの場所の例を次に示します。

MW_Home/Oracle_WT1

Oracle HTTP Serverは、Oracle WebLogic Serverのリスナー機能を実現し、静的ページ、動的ページおよびWeb上のアプリケーションのホスティングのフレームワークを提供します。

Oracle HTTP Server 11gのインストールおよび構成については、『Oracle Fusion Middleware Oracle Web Tierインストレーション・ガイド』を参照してください。

- Oracle HTTP Server WebGate for Access Managerがインストールされていること。WebGate_Homeの場所の例を次に示します。

MW_Home/Oracle_OAMWebGate1

Oracle HTTP Server WebGateのインストール・パッケージは、コア・コンポーネントとは別のメディアおよび仮想メディアに含まれています。Oracle Technology Network (OTN)からOracle HTTP Server WebGateソフトウェアをダウンロードできます。

http://www.oracle.com/technetwork/index.html

Oracle HTTP Server WebGateのインストールの詳細は、『Oracle Fusion Middleware WebGates for Oracle Access Managerのインストール』のOracle HTTP Server 11g WebGateのインストールに関する項を参照してください。

注意:

Oracle HTTP Server 11gリリース2 WebGate for Access Managerは、Oracle Identity and Access Management環境で使用することを意図していません。この環境では、Oracle Identity and Access Managementコンポーネント間での統合を設定します。

- Windows 2003またはWindows 2008 64ビット・オペレーティング・システムを使用している場合、Oracle HTTP Server 11g WebGate for Access ManagerをホストしているマシンにMicrosoft Visual C++ 2005ライブラリをインストールする必要があります。これらのライブラリはWebGateに必要です。

- Java runtime environment (JRE) 1.6以上がインストールされていること。

8.4.8.2 WebGateを使用したOracle HTTP Serverの構成

Oracle HTTP Server 11g WebGate for Access Managerをインストールした後、Oracle HTTP Serverと同じインスタンス・ホームを持つWebGateのインスタンスを作成し、Oracle HTTP Server構成ファイルをWebGate構成で更新する必要があります。詳細は、『Oracle Fusion Middleware WebGate for Oracle Access Managerのインストール』のOracle HTTP Server 11g WebGateのインストール後の手順に関する項を参照してください。

Oracle HTTP Server 11g WebGateのインストール後の手順に関する項の指示に従って、次の手順を実行します。

1. WebGateインスタンスを作成し、WebGate_HomeディレクトリからWebGateインスタンスの場所にエージェント構成ファイルをコピーします。
WebGate_Homeは、次の例のように、Oracle HTTP Server WebGateをインストールし、WebGateのOracleホームとして定義されているディレクトリです。

MW_HOME/Oracle_OAMWebGate1

WebGateインスタンス・ホームは、次の例のように、Oracle HTTP Serverのインスタンス・ホームである必要があります。

MW_HOME/Oracle_WT1/instances/instance1/config/OHS/ohs1

2. httpd.confをWebGate構成で更新します。

8.4.8.3 Oracle Access Managementコンソールを使用したパートナとしてのWebゲートのAccess Manager 11gへの登録

WebGateをパートナとしてAccess Manager 11gに登録するには、次の手順を実行します。

1. Oracle Access Managementコンソールにログインします。

http://oam_adminserver_host:oam_adminserver_port/oamconsole

2. Oracle Access Managementを使用して、新しいWebGateエージェントをAccess Managerに登録します。詳細は、『Oracle Fusion Middleware Oracle Access Management管理者ガイド』のコンソールを使用したOAMエージェントの登録に関する項を参照してください。

3. ツール・バーの「編集」ボタンをクリックして、構成ページを表示します。

4. アクセス・クライアント・パスワードを設定し、「適用」をクリックします。確認メッセージのアーティファクトの場所をメモします。
アクセス・クライアント・パスワードは、エージェントの一意のパスワードです。エージェントがOAMサーバーに接続する場合、サーバーに対して自身を認証するときにこのパスワードを使用します。これによって、認可されていないエージェントが接続してポリシー情報を取得するのを防ぎます。

5. アーティファクトの場所で、ObAccessClient.xml構成ファイルおよびcwallet.ssoを見つけて次のディレクトリにコピーします。

OHS_Home/instances/instance/config/OHS/component/webgate/config

8.4.8.4 Oracle HTTP Server WebGateの再起動

変更内容を有効にするために、Oracle HTTP Serverを再起動します。

1. OHS_HOME/instances/instance/binディレクトリにナビゲートします。

2. 次のコマンドを使用して、Oracle HTTP Serverインスタンスを再起動します。

opmnctl stopall
opmnctl startall

8.4.8.5 Webゲートの設定の検証

Webゲートの設定が完了したら、登録を検証します。

1. 保護されたURLにアクセスすることにより、Webゲートの構成を検証します。

http://ohs_host:ohs_port/

認証のため、Access Managerシングル・サインオン(SSO)ログイン・ページにリダイレクトされます。

2. ユーザー名およびパスワードを入力します。
Oracle HTTP Serverの「ようこそ」ページが表示されます。

これが、Oracle Adaptive Access Managerを使用して保護されるパートナです。

8.4.9 OAAM Serverのパートナ・アプリケーションとしてのAccess Managerへの登録

パートナ・アプリケーションは、認証機能をAccess Manager 11gに委任するアプリケーションです。OAAMがAccess Managerにパートナ・アプリケーションとして登録されている場合、OAAMは厳密認証、リスクおよび不正分析の実行後にTrusted Authentication Protocol (TAP)を介しAccess Managerと通信して認証済のユーザー名をOAMサーバーに送信し、OAMサーバーは保護されたリソースへリダイレクトする役割を果たします。

I認証が成功し、ユーザーに登録済の適切なプロファイルがある場合は、Oracle Adaptive Access Managerによりこのユーザー名のTAPトークンが構成され、Access Managerに戻されます。Access Managerは戻されたトークンをアサートします。トークンをアサートした後、Access ManagerはそのCookieを作成し、通常のシングル・サインオン・フロー(ユーザーを保護されたリソースにリダイレクトする)を続行します。

OAAMサーバーを信頼できるパートナ・アプリケーションとしてAccess Managerに登録するには、次の手順に従います。

1. OAM管理サーバーが実行されていることを確認します。

2. Oracle WebLogic Scripting Tool (WLST)の環境を設定します。

3. IAM_ORACLE_HOME/common/binディレクトリに移動します。

cd IAM_ORACLE_HOME/common/bin

4. 次のコマンドを実行して、WLSTシェル環境に入ります。

./wlst.sh

5. Connectと入力し、WebLogic管理サーバーに接続します。

6. ユーザー名を入力します。たとえば、admin_usernameなどです。

7. パスワードを入力します。たとえば、admin_passwordなどです。

8. t3://hostname:portを入力します。
次に例を示します。

t3://AdminHostname:7001

9. 別のターミナル・ウィンドウで、次を実行してkeystoreディレクトリを作成します。

mkdir IAM_ORACLE_HOME/TAP/TapKeyStore

10. WLSTシェルを使用して、registerThirdPartyTAPPartnerコマンドを実行します。

registerThirdPartyTAPPartner(partnerName = "partnerName", keystoreLocation=
"path to keystore", password="keystore password", tapTokenVersion="v2.0",
tapScheme="TAPScheme", tapRedirectUrl="OAAM login URL")

このコマンドは、サード・パーティをTrusted Authentication Protocol (TAP)パートナとして登録します。

次に例を示します。

registerThirdPartyTAPPartner(partnerName = "OAAMTAPPartner", keystoreLocation=
"IAM_ORACLE_HOME/TAP/TapKeyStore/mykeystore.jks" , password="password",
tapTokenVersion="v2.0", tapScheme="TAPScheme", tapRedirectUrl="http://OAAM_
Managed_server_host:14300/oaam_server/oamLoginPage.jsp")

表8-6 TAPパートナの例

パラメータ

詳細

partnerName

パートナの名前は一意である必要があります。これは、サード・パーティ・パートナの識別に使用する任意の名前にできます。Access Managerにパートナが存在する場合は、その構成が上書きされます。

keystoreLocation

キーストアの場所は既存の場所です。指定したディレクトリ・パスが存在しない場合は、エラーが表示されます。キーストア・ファイル名を含む完全なパスを指定する必要があります。前に示した例では、キーストアの場所はIAM_ORACLE_HOME/TAP/TapKeyStore/mykeystore.jksでした。他に、keystoreLocation= "/scratch/jsmith/dwps1tap/TapKeyStore/mykeystore.jks"のような例もあります。コマンドregisterThirdPartyTAPPartnerを実行すると、キーストア・ファイルが指定の場所に作成されます。Windowsでは、パスをエスケープする必要があります。次に例を示します。

"C:\\oam-oaam\\tap\\tapkeystore\\mykeystore.jks"

password

キーストアの暗号化に使用するキーストア・パスワード。キーストアは、パラメータkeystoreLocation用に指定した場所でコマンドregisterThirdPartyTAPPartnerを実行することにより作成されます。後で必要になるため、このパスワードをメモします。

tapTokenVersion

Trusted Authentication ProtocolのバージョンtapTokenVersionは、11.1.1.5.0および11.1.2.0の場合、常にv2.0です。IDContextクレームを使用している場合は、v2.1となります。

tapScheme

Trusted Authentication Protocol認証スキーム(すぐに使用できるTAPScheme)。これは更新される認証スキームです。異なるtapRedirectUrlを持つ2つのTAPパートナが必要な場合は、Oracle Access Managementコンソールを使用して新しい認証スキームを作成し、そのスキームをここで使用します。

この認証スキームは、前述の手順でregisterThirdPartyTAPPartnerコマンドを実行しているときに自動的に作成されます。TAPSchemeの名前は、パラメータとしてそのコマンドに渡されます。例のコマンドではtapScheme="TAPScheme"が使用されています。

tapRedirectUrl

サード・パーティのアクセスURL。TAPリダイレクトURLはアクセス可能である必要があります。アクセスできない場合、パートナの登録は失敗し、Error! Hyperlink reference not validというメッセージが表示されます。tapRedirectUrlは次のように構成されます。

http://oaamserver_host:oaamserver_port/oaam_server/oamLoginPage.jsp

OAAMサーバーが実行されていることを確認してください。実行されていない場合、登録は失敗します。資格証明コレクタのページは、OAAMサーバーによって提供されます。registerThirdPartyTAPPartner (TAPScheme)によって作成された認証スキームは、redirectURLとしてOAAMサーバーの資格証明コレクタ・ページを指します。

11. exit ()と入力してWebLogicシェルを終了します。

8.4.10 IAMSuiteAgentプロファイルへのパスワードの追加

複数の場所でエージェント・パスワードを指定する必要があります。OAAMでは、統合でエージェント・プロファイルを使用するために、このエージェント・パスワードを必要とします。

Access Managerがインストールされると、IAMSuiteAgentというデフォルトのエージェント・プロファイルが作成されます。このプロファイルは、Access Managerとの統合の際にOracle Adaptive Access Managerによって使用されます。IAMSuiteAgentプロファイルが最初に作成されるときには、パスワードは設定されていません。プロファイルがOAAMで統合に使用される前に、パスワードを設定する必要があります。次のようにします。

1. Oracle Access Managementコンソールにログインします。

http://oam_adminserver_host:oam_adminserver_port/oamconsole

2. ユーザー名とパスワードを入力します。

3. 「システム構成」タブを選択します。

4. 「Access Managerの設定」→「SSOエージェント」を開きます。

5. 「OAMエージェント」をダブルクリックします。
右側のペインに「Webゲート」ページが開かれます。

6. 「検索」をクリックすると、IAMSuiteAgentを含むすべてのWebゲート・エージェントがリストされます。

7. 「IAMSuiteAgent」をダブルクリックし、プロパティを編集します。

8. 「アクセス・クライアント・パスワード」でパスワードを指定し、「適用」をクリックして変更を保存します。
これは必須の手順です。

8.4.11 別のコンソールのドメイン・エージェントを使用した場合のドメイン・エージェント定義の更新

注意: これでIAMSuiteAgentがパスワード認証付きで「オープン・モード」に表示されます。別のコンソールでIdentity Managementドメインのドメイン・エージェントを使用している場合は、ドメイン・エージェント定義を更新してドメイン・エージェントの使用を続行します。

1. WebLogic管理コンソールにログインします。

http:oam_adminserver_host:port/console

2. 資格証明を入力します。

3. 「ドメイン構造」メニューで「セキュリティ・レルム」を選択します。

4. myrealmをクリックします。

5. 「プロバイダ」タブをクリックします。

6. 認証プロバイダのリストからIAMSuiteAgentを選択します。

7. 「プロバイダ固有」をクリックします。

8. エージェント・パスワードを入力し、そのパスワードを確認します。
これは必須の手順です。

9. 「保存」をクリックします。

10. 左上隅の「変更のアクティブ化」をクリックします。

11. WebLogic管理サーバー、OAAMの管理サーバーと管理対象サーバー、およびOAMサーバーを再起動します。

8.4.12 TAPパートナ登録の検証

TAPパートナ登録を検証するには、次の手順に従います。

8.4.12.1 チャレンジURLの検証

Access Managerの構成を検証するには、次の手順を実行します。

1. Oracle Access Managementコンソールにログインします。

http://oam_adminserver_host:oam_adminserver_port/oamconsole

2. 資格証明を入力します。

3. コンソールの左側のペインの「ポリシー構成」をクリックします。

4. 左側のペインで、「認証スキーム」ノードを開きます。

5. TAPScheme認証スキームをダブルクリックします。

6. 「チャレンジ・メソッド」が「DAP」で、「認証モジュール」が「DAP」であることを確認します。

7. 「チャレンジURL」が、OAAMがパートナ・アプリケーションとしてAccess Managerに登録されたときに指定されたtapRedirectUrlの値の一部を示していることを確認します。たとえば、tapRedirectUrlがhttp://OAAM_Managed_server_host:14300/oaam_server/oamLoginPage.jspの場合、「チャレンジURL」は/oaam_server/oamLoginPage.jspとなります。URLのホストおよびポート番号部分は、チャレンジ・パラメータでパラメータ化されます。「チャレンジ・パラメータ」フィールドに、TAPPartnerId=OAAMPartnerとSERVER_HOST_ALIAS=HOST_ALIAS_1の両方が表示されます。

8. チャレンジ・パラメータが正しく設定されていることを確認します。

8.4.12.2 MatchLDAPAttributeチャレンジ・パラメータのTAPSchemeへの追加

MatchLDAPAttributeチャレンジ・パラメータを追加し、これをLDAPアイデンティティ・ストアで指定されたUser Name Attributeに設定する必要があります。

1. Oracle Access Managementコンソールにログインします。

http://oam_adminserver_host:oam_adminserver_port/oamconsole

2. 資格証明を入力します。

3. 画面の左側で「ポリシー構成」タブをクリックします。

4. 「認証スキーム」ノードを開きます。

5. TAPScheme認証スキームをダブルクリックします。

6. 既存のパラメータに別のパラメータを追加するには、カーソルを「チャレンジ・パラメータ」フィールドに置き、キーボードを使用して[Enter]キーを押します。

7. 新しい行で、チャレンジ・パラメータのエントリを追加します。
たとえば、MatchLDAPAttribute=uidなどです。

MatchLDAPAttributeを、LDAPアイデンティティ・ストアで指定されたUser Name Attributeに設定する必要があります。たとえば、uid、mail、cnなどとなります。

注意:

「チャレンジ・パラメータ」では大/小文字を区別します。

詳細は、『Oracle Fusion Middleware Oracle Access Management管理者ガイド』のユーザー・アイデンティティ・ストアの管理に関する項を参照してください。

8. 「適用」をクリックして変更を送信します。

9. 確認ウィンドウを閉じます。

8.4.12.3 IAMSuiteAgentの設定の検証

IAMSuiteAgentの設定を検証するには、次の手順を実行します。

1. OAMサーバーをホストしている管理対象サーバーを再起動します。

1. OAMサーバーをホストしている管理対象サーバーを停止します。

OAM_DOMAIN_HOME/bin/stopManagedWeblogic.sh oam_server1

2. OAMサーバーをホストしている管理対象サーバーを起動します。

OAM_DOMAIN_HOME/bin/startManagedWeblogic.sh oam_server1

2. Oracle Access Managementテスターを起動します。

IAM_ORACLE_HOME/../jdk_version/bin/java -jar IAM_ORACLE_
HOME/oam/server/tester/oamtest.jar

Oracle Access Managementテスター・コンソールが表示されます。

3. 「サーバー接続」セクションで、サーバー接続の詳細を指定します。

1. IPアドレス: Access Manager管理対象サーバーのホスト

2. ポート: Oracle Access Management Oracle Access Protocol (OAP)ポート

3. エージェントID: IAMSuiteAgent

4. エージェント・パスワード: 「IAMSuiteAgentプロファイルへのパスワードの追加」で指定したPassword

「サーバー接続」セクションには、OAMサーバーへの接続の確立に必要な情報についてのフィールドが示されます。

4. 「接続」をクリックします。
サーバーに接続できる場合は、次のセクションの保護されているリソースのURIが有効になります。

5. 保護されたリソースのURIセクションには、保護状態を検証する必要のあるリソースに関する情報が表示されます。
このセクションでは、次のように保護されたリソースのURIを指定します。

1. ホスト: IAMSuiteAgent

2. ポート: 80

3. リソース: /oamTAPAuthenticate

注意:

oamTAPAuthenticateではなくTAPSchemeを使用して保護されているその他の任意のリソースをテストできます。

6. 「検証」をクリックします。
リソース検証サーバー・リクエストを送信するには、「検証」ボタンを使用します。検証に成功すると、次のセクションのユーザー・アイデンティティが有効になります。

7. 「ユーザー・アイデンティティ」セクションで、User Identityを指定し、認証をクリックします。認証に成功した場合は、設定が正常に行われています。
このセクションには、資格証明を認証する必要のあるユーザーに関する情報が表示されます。「ユーザーの認証」サーバー・リクエストの送信には「認証」ボタンを使用します。

8.4.13 OAAMでのAccess Manager TAP統合プロパティの設定

setupOAMTapIntegration.shを実行してTAP統合用にAccess Managerを構成するには、次の手順を実行します。

注意:

OAAMコマンドライン・スクリプトの実行に失敗する場合、次のようにスクリプトを実行します。

bash script_name

1. OAAM管理対象サーバーが実行されていることを確認します。

2. 作業ディレクトリを作成します。

mkdir temp
cd temp
mkdir oaam_cli
cd..

3. OAAMのcliフォルダを作業ディレクトリにコピーします。

cp -r OAAM_HOME/oaam/cli/. temp/oaam_cli

4. temp/oaam_cli/conf/bharosa_propertiesにあるoaam_cli.propertiesをテキスト・エディタで開きます。

gedit temp/oaam_cli/conf/bharosa_properties/oaam_cli.properties

5. 表8-7で説明するプロパティを設定します。

表8-7 OAAM CLIのプロパティ

パラメータ

詳細

oaam.adminserver.hostname

これは、OAAMがインストールされているWebLogic Serverドメインの管理サーバー・ホストです。

oaam.adminserver.port

これは、OAAMがインストールされているWebLogicサーバー・ドメインの管理サーバー・ポートです。

oaam.db.url

これは、次の形式で示されるOAAMデータベースの有効なJDBCのURLです。

jdbc:oracle:thin:@db_host:db_port:db_sid

oaam.uio.oam.tap.keystoreFile

これは、registerThirdPartyTAPPartnerのWLSTコマンドによって生成されたキーストア・ファイルの場所です。

パラメータkeystoreLocationに対して前述のWLSTコマンドに指定された場所からファイルをコピーします。Access ManagerとOAAMが異なるマシン上にある場合は、OAMサーバーで作成したキーストア・ファイルをOAAMサーバーに手動でコピーし、OAAMサーバー上の場所をここで指定する必要があります。

Windowsでは、ファイル・パスの値をエスケープする必要があります。次に例を示します。

C:\\oam-oaam\\tap\\keystore\\store.jks

oaam.uio.oam.tap.partnername

これは、WLST registerThirdPartyTAPPartnerコマンドで使用したpartnerNameです。たとえば、OAAMPartnerです。

oaam.uio.oam.host

これは、Access Managerプライマリ・ホストです。

oaam.uio.oam.port

これは、Access ManagerのプライマリOracle Access Protocol (OAP)ポートです。これは、OAMサーバー・ポートです(デフォルト・ポート番号5575)。

oaam.uio.oam.webgate_id

これは、IAMSuiteAgent値です。これは変更しないでください。

oaam.uio.oam.secondary.host

セカンダリOAMサーバー・ホスト・マシンの名前です。このプロパティは高可用性のために使用されます。このプロパティを使用してフェイルオーバー・ホスト名を指定できます。

oaam.uio.oam.secondary.host.port

これは、Access ManagerのセカンダリOAPポートです。このプロパティは高可用性のために使用されます。このプロパティを使用してフェイルオーバー・ポートを指定できます。

oaam.uio.oam.security.mode

これは、使用しているAccess Managerトランスポート・セキュリティ・モードにより異なります。値は、1(オープン)、2(簡易)、または3(証明書)となります。指定されていない場合、デフォルトは1(オープン)です。

oam.uio.oam.rootcertificate.keystore.filepath

ルート証明書用に生成されたキーストア・ファイルの場所。

DOMAIN_HOME/output/webgate-ssl/oamclient-truststore.jks

これは、セキュリティ・モードが2(簡易)および3(証明書)の場合にのみ必要です。

oam.uio.oam.privatekeycertificate.keystore.filepath

秘密鍵用に生成されたキーストア・ファイルの場所。

DOMAIN_HOME/output/webgate-ssl/oamclient-keystore.jks.

秘密鍵は、Access ManagerおよびOAAMを簡易モードおよび証明書モードで設定した場合にのみ必要となります。

oaam.csf.useMBeans

複数のドメインに対するインストールでは、oaam.csf.useMBeansプロパティをtrueに設定する必要があります。このパラメータの設定の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』の資格証明ストア・フレームワーク(CSF)構成の設定に関する項を参照してください。

6. 変更を保存してエディタを終了します。

7. ミドルウェアおよびJavaホーム環境変数を設定します。
bashの場合:

export ORACLE_MW_HOME=Location_of_WebLogic_installation_where_Oracle_Adaptive_
Access_Manager_is_installed
export JAVA_HOME=Location_of_JDK_used_for_the_WebLogic_installation

または

cshの場合:

setenv ORACLE_MW_HOME Location_of_WebLogic_installation_where_Oracle_Adaptive_
Access_Manager_is_installed
setenv JAVA_HOME Location_of_JDK_used_for_the_WebLogic_installation

8. ディレクトリをtemp/oaam_cli/に変更します。

9. 実行権限を有効にします。

chmod 777 setupOAMTapIntegration.sh

10. 次のコマンドを使用して、OAAM統合設定スクリプトを実行します。

./setupOAMTapIntegration.sh conf/bharosa_properties/oaam_cli.properties

このスクリプトは、OAAMで統合に必要なプロパティを設定します。

11. コマンドが実行されると、次の情報の入力を求められます。

- Weblogic Serverホーム・ディレクトリ: 通常は$ORACLE_MW_HOME/wlserver_10.3です。

- OAAM管理サーバー・ユーザー名: これは、WebLogic Serverドメインの管理サーバー・ユーザー名(通常はweblogic)です。

- OAAM管理サーバー・パスワード: これは、管理サーバー・ユーザーのパスワードです。

- OAAMデータベース・ユーザー名: OAAMデータベース・ユーザーです。

- OAAMデータベース・パスワード: OAAMデータベース・ユーザーのパスワード。

- CSFに格納されるAccess Manager Webゲートの資格証明: Webゲートのパスワードを入力します。

- Access Manager TAPキーストア・ファイル・パスワード: TAPパートナを登録した際に割り当てられたパスワードです。詳細は、「OAAM Serverのパートナ・アプリケーションとしてのAccess Managerへの登録」を参照してください。

簡易モードまたは証明書モードでAccess ManagerとOracle Adaptive Access Managerとの統合を設定すると、次のように追加入力を行う必要があります。

- Access Manager秘密鍵証明書キーストア・ファイルのパスワード: 簡易モード・パスフレーズです。これは、WLSTコマンドdisplaySimpleModeGlobalPassphraseの実行により取得できます。

- Oracle Access Managementグローバル・パスフレーズ: 簡易モード・パスフレーズです。これは、WLSTコマンドdisplaySimpleModeGlobalPassphraseの実行により取得できます。

詳細は、『Oracle Fusion Middleware Oracle Access Management管理者ガイド』の簡易モードのグローバル・パスフレーズの取得に関する項を参照してください。

8.4.14 TAPSchemeを使用してIAMSuiteAgentアプリケーション・ドメイン内のIdentity Management製品リソースを保護するための統合の構成

注意:

この項の手順は、IAMSuiteAgentアプリケーション・ドメインでTAPschemeを使用する場合にのみ実行する必要があります。

IAMスイート・ドメインでIdentity Management製品リソースにTAPscheme、Protected HigherLevel Policyを使用するには、次の構成を実行する必要があります。

1. Oracle Access Managementコンソールにログインします。

http://oam_adminserver_host:oam_adminserver_port/oamconsole

2. ナビゲーション・ツリーで「アプリケーション・ドメイン」をダブルクリックしてから「検索」をクリックし、検索結果でIAMスイートをクリックします。

3. Click the 「認証ポリシー」タブをクリックします。

4. 「保護された上位レベル・ポリシー」をクリックします。

5. リソース・ウィンドウで「/oamTAPAuthenticate」をクリックします。

6. 「削除」→「適用」をクリックします。

7. IAMSuiteアプリケーション・ドメインに新しい認証ポリシーを作成します。

8. 認証スキームに、LDAPSchemeを選択します。

9. リソース・ウィンドウで「追加」をクリックします。

10. リソース「/oamTAPAuthenticate」を選択します。

11. 「適用」をクリックします。

Access ManagerがリソースURLをOAAMに渡す前にオーバーライドできるようにするには、TAPSchemeでTAPOverrideResourceチャレンジ・パラメータを設定する必要があります。

1. 次のOracle Access Managementコンソールにログインします。

http://oam_adminserver_host:oam_adminserver_port/oamconsole

2. 画面の左側で「ポリシー構成」タブをクリックします。

3. 「認証スキーム」ノードを開きます。

4. TAPScheme認証スキームをダブルクリックします。

5. 既存のパラメータに別のパラメータを追加するには、カーソルを「チャレンジ・パラメータ」フィールドに置き、キーボードを使用して[Enter]キーを押します。

6. 新しい行で、TAPSchemeのチャレンジ・パラメータにTAPOverrideResource=http://IAMSuiteAgent:80/oamTAPAuthenticateを追加します。

7. 「適用」をクリックします。

8.4.15 TAPSchemeにより保護されるリソースの構成

OAAM TAPSchemeでリソースを保護するには、次の手順を実行します。

8.4.15.1 アプリケーション・ドメインでの新しいリソースの作成

保護する新しいリソースを作成するには、次の手順を実行します。

1. Oracle Access Managementコンソールにログインします。

http://oam_host:port/oamconsole

2. Oracle Access Managementコンソールで「ポリシー構成」タブをクリックします。

3. 左側のパネルで「アプリケーション・ドメイン」をダブルクリックします。

4. 「アプリケーション・ドメイン」ページで「検索」をクリックし、検索結果でIAMスイートをクリックします。

5. 「リソース」タブをクリックします。

6. 「新規リソース」ボタンをクリックしてリソースを作成します。
タイプ: http。HTTPタイプがデフォルトです。HTTPまたはHTTPSプロトコルを使用してアクセスするリソースを扱います。特定のリソースを制御するポリシーがすべての操作に適用されます。

説明: このリソースのオプションの一意の説明。

ホスト識別子: IAMSuiteAgent

リソースURL: 「/」文字で区切られた一連の階層レベルで構成される完全なURLのパス・コンポーネントを表す単一の相対URLとして、URL値を表現する必要があります。リソースのURL値は/で始まり、選択されたホスト識別子のリソース値と一致する必要があります。

たとえば、/higherriskresourceなどです。

保護レベル: Protected

7. 「適用」をクリックして、このリソースをアプリケーション・ドメインに追加します。

8.4.15.2 TAPSchemeを使用してリソースを保護する新しい認証ポリシーの作成

TAPScheme認証を使用してリソースを保護する新しい認証ポリシーを作成するには、次の手順を実行します。

1. 左側のパネルで「アプリケーション・ドメイン」をダブルクリックします。

2. 「アプリケーション・ドメイン」ページで「検索」をクリックし、検索結果でIAMスイートをクリックします。

3. 「認証ポリシー」タブをクリックし、「認証ポリシーの作成」ボタンをクリックします。

4. 次の一般的なポリシーの詳細を追加します。
名前: 左側のペインで識別子として使用される一意の名前。たとえば、HighPolicyなどです。

認証スキーム: TAPScheme

5. グローバル・ポリシー要素および指定を追加します。
説明(オプション): 認証ポリシーを説明するオプションの一意のテキスト。

成功URL: 認証の成功時に使用されるリダイレクトURL。

「失敗URL」: 認証の失敗時に使用されるリダイレクトURL。

6. リソースを追加します。
リストの中からリソースのURLを選択します。リストされているURLは、以前にアプリケーション・ドメインに追加されました。認証ポリシーで保護する1つ以上のリソースを追加できます。リソース定義は、ポリシーに含める前にアプリケーション・ドメイン内に存在する必要があります。

1. 「認証ポリシー」ページで「リソース」タブをクリックします。

2. タブの「追加」ボタンをクリックします。

3. リストの中からURLを選択します。たとえば、/higherriskresourceなどです。

7. 「適用」をクリックして変更を保存し、確認ウィンドウを閉じます。

8. ポリシー・レスポンスを追加します。
レスポンスは、Webエージェントで実行される必須処理(認証後のアクション)です。認証に成功すると、保護されたアプリケーションをホストするアプリケーション・サーバーは、これらのレスポンスに基づいてユーザー・アイデンティティをアサートできる必要があります。認証に失敗すると、ブラウザはリクエストを事前構成されたURLにリダイレクトします。

9. 終了したらページを閉じます。

8.4.16 Access ManagerとOracle Adaptive Access Managerの統合の検証

保護されたリソースにアクセスしてみます。登録およびチャレンジのため、OAAMにリダイレクトされます。Access Managerログイン・ページのかわりにOAAMログイン・ページが表示されます。

8.5 Access ManagerとOAAMとの統合のその他のタスク

この項では、デプロイメントに応じて必要となる可能性のあるその他の構成手順について説明します。

8.5.1 TAPScheme認証スキームの認証レベルの変更

TAPSchemeスキームの認証レベルを変更するには、次の手順を実行します。

1. Oracle Access Managementコンソールで「ポリシー構成」タブを選択します。

2. 「共有コンポーネント」を開きます。

3. 「認証スキーム」ノードを開きます。

4. 「TAPScheme」をダブルクリックします。

5. 「認証スキーム」ページで認証レベルを変更します。

6. 「適用」をクリックして変更を送信します。

7. 確認ウィンドウを閉じます。

8. 終了したらページを閉じます。

8.5.2 Access Managerが簡易モードの場合のOracle Adaptive Access ManagerとAccess Managerとの統合の設定

簡易モードでOracle Adaptive Access ManagerとAccess Managerとの統合を設定するには、次の手順に従います。

8.5.2.1 Access Managerの簡易モード通信の構成

OAMサーバーとクライアント(Webゲート)間の通信を保護するということは、コンポーネント登録ページ内のOAPチャネルに対してトランスポート・セキュリティ・モードを定義することを意味します。トランスポート・セキュリティ通信モードはAccess Managerのインストール中に選択されます。簡易モードのとき、インストーラは最初にランダムなグローバル・パスフレーズを生成しますが、これは後で必要に応じて編集できます。

簡易モードは、プレーン・テキストでパスワードを送信したくないといったセキュリティ上の懸念があるものの、独自の認証局(CA)を管理しない場合に使用します。この場合、Access Manager 11gサーバーおよびWebゲートはOracle CAにより発行および署名された同じ証明書を使用します。

簡易モード通信用のAccess Managerの構成については、『Oracle Fusion Middleware Oracle Access Management管理者ガイド』を参照してください。

8.5.2.2 簡易モードのAccess ManagerのOAAMプロパティの設定

第8.4.13項「OAAMでのAccess Manager TAP統合プロパティの設定」の手順に従ってください。oaam_cli.propertiesファイルを編集する場合は、表8-7に示したプロパティに加え、次のプロパティを設定します。

表8-8 セキュリティ・モードのプロパティ

パラメータ

詳細

oaam.uio.oam.security.mode

これは、使用しているAccess Managerトランスポート・セキュリティ・モードにより異なります。値は、1(オープン)、2(簡易)、または3(証明書)となります。指定されていない場合、デフォルトは1(オープン)です。

oam.uio.oam.rootcertificate.keystore.filepath

ルート証明書用に生成されたキーストア・ファイルの場所。

DOMAIN_HOME/output/webgate-ssl/oamclient-truststore.jks

これは、セキュリティ・モードが2(簡易)および3(証明書)の場合にのみ必要です。

oam.uio.oam.privatekeycertificate.keystore.filepath

秘密鍵用に生成されたキーストア・ファイルの場所。

DOMAIN_HOME/output/webgate-ssl/oamclient-keystore.jks

これは、セキュリティ・モードが2(簡易)および3(証明書)の場合に必要です。

8.5.3 Access ManagerとOAAMとのTAP統合におけるアイデンティティ・コンテキスト・クレームの構成

アイデンティティ・コンテキストにより、組織は、Oracle Access Managementプラットフォームに組み込まれているコンテキストを意識したポリシー管理および認可機能を活用することで、増大するセキュリティの脅威に対応できます。アイデンティティ・コンテキストでは、従来のセキュリティ制御(ロールやグループなど)とともに、認証および認可中に確立される動的データ(認証強度、リスク・レベル、デバイス・トラストなど)を使用することで、リソースへのアクセスのセキュリティが確保されます。

Access ManagerとOAAMとのTAP統合でアイデンティティ・コンテキスト・クレームを使用するには、次の手順に従います。

1. Domain_Home/config/fmw-config/oam-config.xmlで、TAPパートナ名を持つ設定を検索します。Access Managerに対してTAPパートナを登録するときにTAPパートナ名を指定している場合があります。たとえば、OAAMPartnerです。OAAMパートナのTapTokenVersionをv2.0からv2.1に変更します。

2. OAAM管理コンソールからプロパティを追加または編集することにより、OAAM側のバージョン設定をv2.0からv2.1に変更します。次のようにします。

1. OAAM管理コンソールにログインします。

http://oaam_managed_server_host:oaam_admin_managed_server_port/oaam_admin

2. 左側のペインで、「環境」をクリックしてから、「プロパティ」をダブルクリックします。「プロパティ」検索ページが表示されます。

3. oaam.uio.oam.dap_token.versionという名前を持つプロパティを検索し、その値をv2.1に変更します。

4. そのプロパティが存在しない場合、名前がoaam.uio.oam.dap_token.versionで、値がv2.1である新しいプロパティを追加します。

3. Access ManagementポリシーのTAPスキームで、TAPOverrideResource=http://IAMSuiteAgent:80/oamTAPAuthenticateというチャレンジ・パラメータを追加します。それを実行する手順は、次のとおりです。

1. 次のOracle Access Managementコンソールにログインします。

http://oam_adminserver_host:oam_adminserver_port/oamconsole

2. 画面の左側で「ポリシー構成」タブをクリックします。

3. 「認証スキーム」ノードを開きます。

4. TAPScheme認証スキームをダブルクリックします。

5. 既存のパラメータに別のパラメータを追加するには、カーソルを「チャレンジ・パラメータ」フィールドに置き、キーボードを使用して[Enter]キーを押します。

6. 新しい行で、TAPSchemeのチャレンジ・パラメータにTAPOverrideResource=http://IAMSuiteAgent:80/oamTAPAuthenticateを追加します。

7. 「適用」をクリックします。

8.5.4 Oracle Adaptive Access ManagerによるHTTPポストベース・フロント・チャネル経由のAccess Managerへのデータ転送の有効化

Access ManagerとOracle Adaptive Access Managerの統合フローには、認証の実行に必要な情報の転送、Access Managerコンテキスト情報の保存、TAPトークンの提供などがあります。

この統合フローの間、Access ManagerはコンテキストをCookieとして保存できます。このコンテキストが大きい(フォーム・データなど)場合、Access ManagerはPOSTデータを介してそのコンテキスト情報をOracle Adaptive Access Managerに送信し、Oracle Adaptive Access ManagerはHTTP POSTベースのフロント・チャネル・メッセージを経由してこのデータをAccess Managerマネージャに転送できます。Oracle Adaptive Access Manager側でAccess Managerのコンテキストを保存するために使用されているメカニズムは、最低8Kのデータを保存できます。これにより、Access Managerでは再認証のときにエンド・アプリケーションのフォーム・データを保存でき、エンド・ユーザーによる再入力が不要になります。

Oracle Adaptive Access Managerでは、Access Managerへ返送するポストベースの応答を生成して、8K以上のAccess Managerのコンテキスト・データを保存できるように、oaam.uio.oam.dopostをtrueに設定する必要があります。

この設定を変更するには、次の手順を実行します。

1. OAAM管理コンソールにログインします。

http://oaam_managed_server_host:oaam_admin_managed_server_port/oaam_admin

2. 左側のペインで、「環境」をクリックしてから、「プロパティ」をダブルクリックします。「プロパティ」検索ページが表示されます。

3. oaam.uio.oam.dopostという名前を持つプロパティを検索し、その値をtrueに変更します。

4. そのプロパティが存在しない場合、名前がoaam.uio.oam.dopostで、値がtrueの新しいプロパティを追加します。

8.5.5 OAAM管理コンソールの保護の無効化

保護を提供するIAMSuiteAgentを無効化することによって、OAAM管理コンソールの保護を無効化できます。

このためには、エージェントを無効にする必要があるサーバーに対して、WLSAGENT_DISABLEDシステム・プロパティまたは環境変数をtrueに設定する必要があります。

IAMSuiteAgentの無効化方法については、『Oracle Fusion Middleware Oracle Access Management管理者ガイド』を参照してください。

8.5.6 ステップアップ認証の無効化

ステップアップ認証シナリオを無効にする場合、次のプロパティをfalseに設定する必要があります。

oaam.uio.oam.integration.stepup.enabled

デフォルトで、このプロパティはtrueに設定されています。OAAM管理コンソールを使用してプロパティを追加/編集することでOracle Adaptive Access Manager側の設定を変更するには、次に進みます。

1. OAAM管理コンソールにログインします。

http://oaam_managed_server_host:oaam_admin_managed_server_port/oaam_admin

2. 左側のペインで、「環境」をクリックしてから、「プロパティ」をダブルクリックします。「プロパティ」検索ページが表示されます。

3. oaam.uio.oam.integration.stepup.enabledという名前を持つプロパティを検索し、その値をtrueに変更します。

4. そのプロパティが存在しない場合、名前がoaam.uio.oam.integration.stepup.enabledで、値がfalseである新しいプロパティを追加します。

falseに設定した場合、ユーザーが下位の保護リソースに対して認証された後により上位の保護リソースにアクセスを試みると、資格証明を求められます。

8.5.7 Oracle Adaptive Access Managerのパスワード長制限の変更

Oracle Adaptive Access Managerでは、パスワードは25文字の制限が採用されています。ユーザーがOAAMサーバーに最初にログインするとき、入力したパスワードが25バイトを超える場合、パスワードが無効というエラーが発生し、ユーザー名のページに戻されてしまいます。

OAAMサーバーに入力するパスワードの文字制限を変更するには、OAAM管理コンソールを使用して次のプロパティを更新する必要があります。

bharosa.authentipad.textpad.datafield.maxLength

OAAM管理コンソールを使用して文字制限を更新する手順は、次のとおりです。

1. OAAM管理コンソールにログインします。

http://oaam_managed_server_host:oaam_admin_managed_server_port/oaam_admin

2. 左側のペインで、「環境」をクリックしてから、「プロパティ」をダブルクリックします。「プロパティ」検索ページが表示されます。

3. bharosa.authentipad.textpad.datafield.maxLengthという名前を持つプロパティを検索し、その値を変更します。

8.5.8 OAAM拡張共有ライブラリの使用によるカスタマイズの追加

TAPスキームを使用してAccess Manager 11gとの統合を構成し、OAAM拡張共有ライブラリを使用してカスタマイズを追加している場合は、プロパティbharosa.uio.proxy.mode.flagをfalseに設定する必要があります。

プロパティをtrueに設定すると、Oracle Adaptive Access ManagerとAccess ManagerのTAPを使用した統合に失敗し、次のメッセージが表示されます。

Sorry, the identification you entered was not recognized.

プロパティがtrueに設定されている場合は、設定を次のように変更します。

1. OAAM管理コンソールにログインします。

http://oaam_managed_server_host:oaam_admin_managed_server_port/oaam_admin

2. 左側のペインで、「環境」をクリックしてから、「プロパティ」をダブルクリックします。「プロパティ」検索ページが表示されます。

3. bharosa.uio.proxy.mode.flagという名前を持つプロパティを検索し、その値をfalseに設定します。

4. そのプロパティが存在しない場合、名前がbharosa.uio.proxy.mode.flagで、値がfalseである新しいプロパティを追加します。

Oracle Adaptive Access Managerのカスタマイズの詳細は、次を参照してください。

- 『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』のOAAM拡張共有ライブラリを使用したOAAMのカスタマイズに関する項

- 『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』のOAAM Webアプリケーション・ページのカスタマイズに関する項

8.5.9 シングル・ログイン・ページ・フローの有効化

詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』のシングル・ログイン・ページ・フローの有効化に関する項を参照してください。

8.6 リソース保護シナリオ

このシナリオは、ユーザーがTAPSchemeの認証レベルを変更する例を示しています。これらの設定に基づいて、ログインおよびステップアップ認証フローも示しています。

8.6.1 リソース保護シナリオ: TAPSchemeの認証レベルの変更

認証レベルを変更するには、次の手順を実行します。

1. Oracle Access Managementコンソールにログインします。

http://oam_host:port/oamconsole

2. 「ポリシー構成」タブをクリックします。

3. 左側のパネルで「TAPScheme」をクリックします。

4. 「TAPScheme認証スキーム」ページで、「認証レベル」の値を増加させます。たとえば、値が2の場合、これを4に変更します。
TAPSchemeは上位の保護リソースを保護します。

5. 「適用」をクリックして変更を保存します。

6. 左側のペインで、「OAMAdminConsoleScheme」をクリックします。

7. 認証レベル値がTAPSchemeより低いことを確認します。
OAMAdminConsoleSchemeは下位の保護リソースを保護します。

8.6.2 リソース保護シナリオ: 保護された上位レベル・ポリシーからのOAAM管理コンソールの削除

この例では、保護された上位ポリシーからOAAM管理コンソールが削除されます。

1. 左側のペインの「アプリケーション・ドメイン」をクリックします。

2. 「アプリケーション・ドメイン」ページで「検索」をクリックし、検索結果でIAMスイートをクリックします。

3. 「認証ポリシー」タブをクリックします。

4. より上位の保護されているポリシーをクリックします。

5. 「リソース」タブで、/oaam_admin/**を削除し、「適用」をクリックして変更を適用します。

8.6.3 リソース保護シナリオ: TAPSchemeを使用してリソースを保護する新しいポリシーの作成

TAPSchemeを使用して新しいポリシーを作成し、上位の保護リソースとしてOracle Adaptive Access Managerを保護します。

1. 「認証ポリシー」タブの「認証ポリシーの作成」ボタンをクリックします。

2. 「認証ポリシー」ページで、名前フィールドにポリシー名を指定します。たとえば、TestPolicyなどです。

3. 「認証スキーム」で、ドロップダウン・リストから「TAPScheme」を選択します。

4. 「リソース」タブをクリックします。

5. 「追加」アイコンをクリックして新しいリソースを作成します。

6. 「検索」ウィンドウで「検索」をクリックします。

7. リソースとして「/oaam_admin/**」を選択します。

8. 「適用」をクリックして認証ポリシーを作成します。

これで、上位の保護リソースはTAPSchemeで保護されたOAAM管理コンソール、下位の保護リソースはOAMAdminConsoleSchemeで保護されたOracle Access管理コンソールとなります。

8.6.4 リソース保護シナリオ: 新規OAAMユーザーの作成

ユーザーの作成方法の詳細は、第8.4.4項「OAAM管理ユーザーおよびOAAMグループの作成」を参照してください。

8.6.5 リソース保護シナリオ: ログイン・フロー

この項では、ユーザーがその仮想認証デバイスとチャレンジ質問を登録するログイン・フローの例を示します。例は、第8.6.1項「リソース保護シナリオ: TAPScheme認証レベルの変更」から第8.6.4項「リソース保護シナリオ: 新規OAAMユーザーの作成」で行われた設定に基づいています。

この例では、上位の保護リソースはTAPSchemeで保護されたOAAM管理コンソール、下位の保護リソースはOAMAdminConsoleSchemeで保護されたOracle Access管理コンソールとなります。

ログイン・フローは次のとおりです。

1. WebブラウザでURLを入力して、保護リソースであるOAAM管理コンソールにアクセスします。
Access Managerユーザー名ページが表示されます。

OAAMサーバーにリダイレクトされます。

2. 図8-1に示すように、Access Managerのユーザー名ページで、ユーザー名を入力し、「続行」をクリックします。

図8-1 Access Managementのユーザー名ページ

3. 図8-2に示すように、パスワードを入力するためのTextPadによるパスワード・ページが表示されます。パスワードを入力し、「入力」をクリックします。

図8-2 TextPadによるパスワード・ページ

4. 図8-3に示すように、「登録」ページで、ユーザーのプロファイルの登録を開始するオプションを選択する場合は「続行」をクリックします。

図8-3 プロファイルの登録

5. 図8-4に示すように、セキュリティ・デバイスの登録ページで、セキュリティ・デバイスを選択して「続行」をクリックします。

図8-4 セキュリティ・デバイスの選択

6. セキュリティ質問の登録ページで、チャレンジ質問を登録します。

図8-5 チャレンジ質問の登録

7. 保護リソースであるOAAM管理コンソールへのアクセスが許可されます。

図8-6 OAAM管理コンソールの「ケース」ページ: 保護されたリソースへのアクセス

8.6.6 リソース保護シナリオ: ステップアップ認証フロー

この項では、第8.6.5項「リソース保護シナリオ: ログイン・フロー」で自分のプロファイルを登録し、上位の保護リソースへのアクセスを許可されたユーザーのステップアップ認証フローの例を示します。この例は、第8.6.1項「リソース保護シナリオ: TAPSchemeの認証レベルの変更」から第8.6.4項「リソース保護シナリオ: 新しいOAAMユーザーの作成」で行われた設定に基づいています。

この例では、上位の保護リソースはTAPSchemeで保護されたOAAM管理コンソール、下位の保護リソースはOAMAdminConsoleSchemeで保護されたOracle Access管理コンソールとなります。

ステップアップ認証フローは次のとおりです。

1. WebブラウザでURLを入力して、下位の保護リソースであるOracle Access Managementコンソールにアクセスします。
ステップアップの例のこの時点では、まだ認証されていません。よりリスクの低いリソースにアクセスすると、ユーザー名とパスワードが同じページに表示されるOracle Access Managementログイン・ページが示されます。

図8-7 Access Managementのログイン: 下位リスク・リソースへのログイン

2. プロファイルを登録したユーザーの資格証明を入力し(第8.6.5項「リソース保護シナリオ: ログイン・フロー」を参照)、「ログイン」をクリックします。

3. 資格証明の提供後、正常に認証されると、下位保護リソースへのアクセスが可能となります。図8-8に示すように、Oracle Access Managementコンソールは、この例では下位保護リソースとして使用されます。

図8-8 Oracle Access Managementコンソール: 下位保護リソースへのアクセス

4. WebブラウザでURLを入力して、上位の保護リソースであるOAAM管理コンソールにアクセスします。
すでに認証されているため、OAMサーバーではログイン・ページは表示されません。ただし、Oracle Adaptive Access Managerでは不正検出ポリシーが実行されます。この例では、Oracle Adaptive Access Managerは認証後ルールを実行し、リスク・スコアが低いと判断し、アクション(たとえば、KBAやOTP)を実行したり、ポリシーに指定されている任意のアラートを生成することはありません。図8-9に、下位保護リソースにアクセスしたときにすでに認証されており、認証後ルールによってリスク・スコアが低いと決定されたため、上位保護リソースにログインしているステップアップ認証プロセスを示します。

図8-9 ステップアップ認証: 上位保護リソースへのログイン

これで、上位保護リソースであるOAAM管理コンソールにアクセスできます。

図8-10 上位の保護リソース

8.7 一般的な問題のトラブルシューティング

この項では、Oracle Adaptive Access ManagerとAccess Managerとの統合環境で発生する可能性のある一般的な問題について示し、これらの解決方法を説明します。一般的な問題のタイプごとにまとめられており、その内容は次のとおりです。

- OAAMとAccess Managerとの基本統合

- ログイン失敗

- アイデンティティ・ストア

- その他

表示される可能性のあるエラー・メッセージの詳細は、この項およびOracle Fusion Middlewareエラー・メッセージ・リファレンスを参照してください。

その他のリソースのトラブルシューティングについては、第1.7項「My Oracle Supportを使用したその他のトラブルシューティング情報」を参照してください。

8.7.1 OAAMとAccess Managerとの基本統合

ここでは、OAAMとAccess Managerとの基本統合に関係する統合問題の解決策を示します。

8.7.1.1 Internet Explorer 7およびOAAMとAccess Managerとの基本統合

OAAMとAccess Managerの基本統合では、保護リソースにアクセスすると、OAAMページに転送されます。

原因

Microsoft Internet Explorer 7を使用している場合、ユーザー名を入力して「送信」をクリックすると、パスワード・ページに自動的にリダイレクトされずに、次のページ(/oam/pages/oaam/handleLogin.jsp)から進まなくなります。

解決策

この問題を解決するには、次の回避策を使用できます。

「続行」リンクをクリックすると、/oam/pages/oaam/handleJump.jsp?clientOffset=-7が表示されます。

8.7.1.2 コンソールでのAccess ManagerとOracle Adaptive Access Managerの統合および変更

OAAMとAccess Managerとの基本統合フローの間に、エラーが発生します。

原因

OAAMEnabled値が不適切に構成されます。

解決策

OAAMとAccess Managerとの基本統合が有効化された環境では、oam-config.xmlの下にある次のエントリOAAMEnabledがtrueに設定される必要があります。

<Setting Name="OAAM" Type="htf:map">
<Setting Name="OAAMEnabled" Type="xsd:boolean">true</Setting>
</Setting>
...

OAAMとAccess Managerとの基本統合フローでエラーが発生したら、このフラグの値をチェックします。新しいOracle Internet Directoryを作成し、それをOAAMBasicスキームに関連付けるなど、特定の環境(Windows)またはシナリオでは、元のフローが破損する可能性があります。OAAMとAccess Managerとの基本統合は、OAAMEnabledフラグがfalseにリセットされるため、機能しません。

8.7.1.3 OTPチャレンジがOAAMとAccess Managerとの基本統合でサポートされない

OAAMとAccess Managerとの基本統合では、Access Managerへの登録中に、チャレンジ質問を登録すると、モバイル番号を入力するための連絡先ページに転送されます。

この統合モードでは、OTPがサポートされていないため、このページは重要ではありません。次の形式でモバイル番号を入力して「送信」をクリックすることによって、登録を完了します。

:09900502139

原因

OAAMチャレンジ・ポリシーではなく、OAAMチャレンジSMSポリシーが実行されるように構成されています。

解決策

この問題を解決するには、OAAMチャレンジSMSポリシーをOAAMチャレンジ・ポリシーに置き換えて、OTPへのチャレンジ・フロー・リクエストを回避します。

1. OAAMチャレンジ・ポリシーを検索します。

2. アクション・グループで、見つかったすべてのOAAMチャレンジSMSをOAAMチャレンジに置き換えます。

3. ポリシーを保存します。

8.7.1.4 OAAMとAccess Managerとの基本統合におけるconfigureOAAMのWLSTコマンドを使用したデータソースの作成

configureOAAMのWLSTコマンドを使用してデータソースを作成し、それをターゲットとしてOAMサーバーおよびoam-config.xmlファイルのOAAMEnabledプロパティに関連付けることができます。構文は次のとおりです。

configureOAAM(dataSourceName,paramNameValueList)

説明:

- dataSourceNameは、作成するデータソースの名前です。

- paramNameValueListは、パラメータ名と値のペアからなるカンマ区切りリストです。名前と値の各ペアの形式は次のとおりです。

paramName='paramValue'

必須のパラメータは次のとおりです。

- hostName: データベース・ホストの名前

- port: データベース・ポート

- sid: データベース識別子(データベースSID)

- userName: OAAMスキーマ名

- passWord: OAAMスキーマ・パスワード

オプションのパラメータは次のとおりです。

- maxConnectionSize: 最大接続予約タイムアウト・サイズ

- maxPoolSize: 接続プールの最大サイズ

次に例を示します。

configureOAAM(dataSourceName = "MyOAAMDS", hostName = "host.mycorp.example.com",
port = "1521", sid = "sid", userName = "username", passWord = "password",
maxConnectionSize = None, maxPoolSize = None, serverName = "oam_server1")

注意:

SID =ではサービス名が必要です。

8.7.2 ログインの失敗

ここではログインの問題の解決策を提供します。

8.7.2.1 非ASCII資格証明

ネイティブ認証フローでASCII以外のユーザー名またはパスワードを使用すると、次のようなメッセージが表示されます。

Sorry, the identification you entered was not recognized. Please try again.

原因

資格証明内に非ASCII文字があります。

解決策

問題を解決するには、次のようにします。

1. PRE_CLASSPATH変数を${ORACLE_HOME}/common/lib/nap-api.jarに設定します。
Cシェルの場合:

setenv  ORACLE_HOME "IAMSUITE INSTALL DIR"
setenv PRE_CLASSPATH "${ORACLE_HOME}/common/lib/nap-api.jar"

bash/kshシェルの場合:

export ORACLE_HOME=IAMSUITE INSTALL DIR
export PRE_CLASSPATH="${ORACLE_HOME}/common/lib/nap-api.jar"

2. OAAM_SERVERに関連する管理対象サーバーを起動します。

8.7.2.2 大文字/小文字混合のログイン

Access ManagerとOracle Adaptive Access Managerで正常に認証された後に、登録されたユーザーが登録したものと異なる大文字/小文字の組合せでユーザー名を入力すると、再度プロファイルを登録するように求められます。

原因

ユーザー名では大文字と小文字が区別されます。デフォルトでは、ユーザーが登録されたユーザーとは異なる大文字/小文字の組合せでユーザー名を入力すると、OAAMサーバーはそのユーザーを未登録と見なします。たとえば、ユーザーuserxyがユーザー名をuserXYと入力してログインを試みると、プロファイルを再度登録するように求められます。

解決策

OAMサーバーとOAAMサーバーの両方でログインが成功するようにするには、ユーザー名の大/小文字を区別しないようにOAAMサーバーを構成する必要があります。このためには、次のプロパティを設定します。

bharosa.uio.default.username.case.sensitive=false

Oracle Adaptive Access Managerでのプロパティ設定の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のプロパティ・エディタの使用に関する項を参照してください。

8.7.2.3 Cookieドメインの定義

構成でCookieドメインの値が正しくない場合、ログインが失敗することがあります。

正しくWebゲートを操作するには、プロパティoaam.uio.oam.obsso_cookie_domainがAccess Managerの対応する値に一致するように設定されていることを確認します。

8.7.2.4 OAAMのテスト・ログインURL/Access ManagerとOracle Adaptive Access Managerの統合後のoaam_serverでの障害

テスト・ログインURL /oaam_serverは、TAPスキームを使用してAccess ManagerとOracle Adaptive Access Managerの統合を続行する前に、Oracle Adaptive Access Manager構成が機能していることを確認するために使用されます。このURLは統合後の使用を意図したものではないため、その時点で、ユーザーはOAAMサーバーに直接アクセスできなくなります。ユーザーがこのURLに移動し、ユーザー名を入力すると、パスワードを入力するページに移動されます。パスワードを送信すると、ログインに失敗し、次のエラーが表示されます。

Error Sorry, the identification you entered was not recognized. Please try again

8.7.3 アイデンティティ・ストア

この項ではアイデンティティ・ストアの問題の解決策を提供します。

8.7.3.1 ユーザー名属性の誤った設定

ユーザーはログインに失敗します。

原因

アイデンティティ・ストアのusername属性がcnではない場合、ログインは失敗します。

解決策

この問題を修正する方法は、次のとおりです。

1. 次のOracle Access Managementコンソールにログインします。
http://oam_adminserver_host:oam_adminserver_port/oamconsole

2. 左側のパネルで「TAPScheme」をクリックします。

3. TAPScheme認証スキームをダブルクリックします。

4. 「TAPScheme」ページで、チャレンジ・パラメータMatchLDAPAttributeを追加し、値をアイデンティティ・ストアで指定したusername属性に設定します。チャレンジ・パラメータは、大文字と小文字が区別されるため、正しく入力するようにしてください。
たとえば、uid、mail、cnなどに設定できます。

username属性がuidの場合は、MatchLDAPAttribute=uidを追加します。

注意:

既存のパラメータに別のパラメータを追加するには、カーソルを「チャレンジ・パラメータ」フィールドに置き、キーボードを使用して[Enter]キーを押す必要があります。

5. 「適用」をクリックして変更を送信します。

8.7.3.2 Access ManagerとOracle Adaptive Access Managerの統合でTAPによりユーザー属性を変更できない

認証は成功しても、最後のリダイレクトが次のエラーで失敗します。

Module oracle.oam.user.identity.provider
Message Principal object is not serializable; getGroups call will result in
an extra LDAP call

Module oracle.oam.engine.authn
Message Cannot assert the username from DAP token

Module oracle.oam.user.identity.provider
Message Could not modify user attribute for user : cn, attribute :
userRuleAdmin, value : {2} .

原因

複数のアイデンティティ・ストアを伴う統合シナリオでは、デフォルト・ストアとして設定されたユーザー・アイデンティティ・ストアが認証およびアサーションに使用されます。

Access ManagerとOracle Adaptive Access ManagerのTAPを使用した統合では、TAPScheme認証スキームのアサーションはデフォルト・ストアに対して行われます。この場合、LDAPモジュールに対して行われるバックエンド・チャネル認証では、特定のユーザー・アイデンティティ・ストア(たとえば、OID)が使用されます。ユーザー名がAccess Managerに返されると、アサーションはデフォルト・ストア(認証に使用されたものとは異なるOID)に対して行われます。

注意:

セッション偽装のため、ユーザーおよび権限付与に使用されるOracle Internet Directoryインスタンスはデフォルト・ストアである必要があります。

解決策

異なるストアを指すようにデフォルト・ストアを変更した場合は、TAPSchemeも同じストアを指していることを確認します。

8.7.3.3 データベースとLDAPとの間の同期が行われない

登録済ユーザーがLDAPから削除されても、登録済ステータス・レコードはOAAMデータベース内に残ります。そのユーザーが再度LDAPに追加された場合、OAAMデータベースとLDAPが同期されていないため、古い画像、フレーズおよびチャレンジ質問が使用されます。

8.7.4 その他

この項では、その他の問題の解決策およびヒントを提供します。

8.7.4.1 ネットワーク遅延による統合の失敗

統合に失敗する場合、Oracle Access Managementコンソールを使用してTokenValiditySecondsを増加させます。

1. 次のOracle Access Managementコンソールにログインします。

http://oam_adminserver_host:oam_adminserver_port/oamconsole

2. 左側のパネルで「TAPScheme」をクリックします。

3. 「TAPScheme」ページで、チャレンジ・パラメータTotalValiditySecondsを追加し、値を目的の数に設定します。デフォルト値は1秒です。チャレンジ・パラメータは、大文字と小文字が区別されるため、正しく入力するようにしてください。
たとえば、TotalValiditySeconds=4のようにします。

注意:

すでにパラメータがある場合に別のパラメータを追加するには、カーソルを「チャレンジ・パラメータ」フィールドに置き、キーボードを使用して[Enter]キーを押してから、新しいパラメータを入力する必要があります。

図8-11 TAPScheme認証スキーム

4. 変更を適用するには、「適用」をクリックします。

8.7.4.2 TAPトークン・バージョンの2.1への変更

oam-config.xmlファイルは、すべてのAccess Manager関連のシステム構成データを含んでおり、DOMAIN_HOME/config/fmwconfigディレクトリにあります。

1. テキスト・エディタでoam-config.xmlファイルを開きます。

vi DOMAIN_HOME/config/fmwconfig/oam-config.xml

2. OAAMPartnerを検索します。

3. 図8-12に示すように、TapTokenVersionの値をv2.0からv2.1に変更します。

図8-12 TAPトークン・バージョン

4. 変更内容を保存します。

:wq!

5. OAAM管理コンソールにログインします。

http://oaam_managed_server_host:oaam_admin_managed_server_port/oaam_admin

6. 左側のペインで、「環境」ノードの下の「プロパティ」をクリックします。

7. 「プロパティ」ページで「新規プロパティ」ボタンをクリックします。

8. 新しいプロパティを次のように指定します。
名前: oaam.uio.oam.dap_token.version

値: v2.1

9. 「作成」をクリックします。

10. 次のOracle Access Managementコンソールにログインします。

http://oam_adminserver_host:oam_adminserver_port/oamconsole

11. 左側のペインで、「TAPScheme」認証スキームをダブルクリックします。

12. 「TAPScheme」ページで、チャレンジ・パラメータTAPOverrideResource=http://IAMSuiteAgent:80/oamTAPAuthenticateを追加します。チャレンジ・パラメータは、大文字と小文字が区別されるため、正しく入力するようにしてください。

注意:

すでにパラメータがある場合に別のパラメータを追加するには、カーソルを「チャレンジ・パラメータ」フィールドに置き、キーボードを使用して[Enter]キーを押してから、新しいパラメータを入力する必要があります。

13. 変更を適用するには、「適用」をクリックします。

8.7.4.3 Access Manager 11.1.1.4.0とOAAM 11.1.1.5.0との統合でOAAMAdvancedスキームによって保護されたリソースにアクセスできない

Access Manager 11.1.1.4.0とOAAM 11.1.1.5.0との統合でOAAMAdvanced認証スキームによって保護されたリソースにアクセスすることはできません。

原因

Access Manager 11.1.1.4.0とOAAM 11.1.1.5.0との統合で、統合を適切に機能させるには、OAAMのパスワードと、この章に示されたパラメータに加えていくつかのパラメータを設定する必要があります。

解決策

この問題を解決するには、次のようにします。

- OAAMのWebゲート・パスワードを設定します。

- oaam.uio.oam.authenticate.withoutsessionをfalseに設定します。デフォルトでは、これはtrueに設定されています。

8.7.4.4 OAAMAdvancedスキームを使用している場合に設定する追加プロパティ

Access ManagerとのOAAM拡張統合でOAAMAdvancedスキームを使用している場合、次のプロパティが設定されていることを確認してください。

- Access Management 11g リリース1 (11.1.1)以前の場合:

oaam.uio.oam.authenticate.withoutsession = false

- Access Management 11gおよび10gの場合:

oracle.oaam.httputil.usecookieapi = true

8.7.4.5 LDAPで保護されたリソースへのテストとしてのアクセス

環境を設定する場合は、必要に応じて、最初にLDAP認証スキームを使用してAccess Managerにより保護されているページにアクセスできるかどうかを確認できます。ページにアクセスできない場合は、構成に進む前にこの問題を解決します。

9 Access Manager、OAAMおよびOIMの統合

Oracle Access Management Access Manager (Access Manager)、Oracle Adaptive Access Manager (OAAM)およびOracle Identity Manager (OIM)を統合すると、Access Managerによるリソースへのアクセス制御、OAAMによる強力なマルチファクタ認証と高度なリアルタイム不正防止、およびOIMによるセルフサービス・パスワード管理が可能となります。

この章では、Oracle Access Management Access Manager (Access Manager)、Oracle Identity Manager (OIM)およびOracle Adaptive Access Managerを統合する方法について説明します。

この章では、次の内容を説明します。

- 第9.1項「Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合について」

- 第9.2項「定義、頭文字および略語」

- 第9.3項「統合ロードマップ」

- 第9.4項「統合の要件」

- 第9.5項「Access ManagerとOracle Identity Managerの統合」

- 第9.6項「Oracle Identity Managerに対するLDAP同期の有効化」

- 第9.7項「Access ManagerとOracle Adaptive Access Managerの統合」

- 第9.8項「Oracle Identity ManagerとOracle Adaptive Access Managerの統合」

- 第9.9項「その他の構成タスクの実行」

- 第9.10項「一般的な問題のトラブルシューティング」

9.1 Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合について

Oracle Access Management Access Manager (Access Manager)、Oracle Adaptive Access Manager (OAAM)およびOracle Identity Manager (OIM)の統合では、後の2製品のセキュアなパスワード収集機能がAccess Managerによって保護されたアプリケーションに追加されます。

セキュアなパスワード収集およびチャレンジ関連機能には、次のようなものがあります。

- 認証プロセスの細かい制御および、OAAMポリシーに対する認証前および認証後チェックの全機能。Access Managerは認証および認可サービスとして動作するのに対し、Oracle Adaptive Access Managerは豊富で強力なオーセンティケータを提供してリスクおよび不正分析を実行します。

- Oracle Adaptive Access Managerの堅牢なチャレンジ質問機能セット。Oracle Identity Managerのより限定的なセットはこれに置き換えられます。

- パスワード検証、ストレージおよび伝播の責務とワークフローの機能の制御

- パスワードの期限切れおよびパスワード忘れに対する支援をせず、パスワードを作成および再設定する機能

- 1つの認証ステップでの複数アプリケーションへのセキュアなアクセス

11g リリース2 (11.1.2.1.0)では、Access Managerによりそれ自体のアイデンティティ・サービスは提供されず、かわりにAccess Managerで次のようにします。

- Oracle Identity Manager、LDAPディレクトリおよび他のソースによって提供されるアイデンティティ・サービスを使用します。

- Oracle Identity ManagerおよびOracle Adaptive Access Managerと統合し、Access Managerによって保護されたアプリケーションに各種のセキュアなパスワード収集機能を提供します。

役割は次のように分割されます。

表9-1 統合における各コンポーネントの役割

コンポーネント

役割

Oracle Adaptive Access Manager

次の役割を担います。

- 認証の前後におけるリアルタイム・リスク分析ルールの実行

- ログイン、チャレンジ、登録およびセルフ・サービス・フローを通じたユーザーのナビゲート

Oracle Identity Manager

次の役割を担います。

- ユーザーのプロビジョニング(ユーザーを追加、変更または削除するため)

- パスワードの再設定フローまたはパスワードの変更フローによるパスワード管理

Access Manager

次の役割を担います。

- ユーザーの認証と認可

- パスワードのリセット、パスワードの期限切れ、ユーザーのロックなどの詳細なステータス・フラグの提供

9.1.1 厳密認証のデプロイメント・オプション

統合シナリオでは、Access Managerは認証および認可モジュールとして動作するのに対し、Oracle Adaptive Access Managerは強力なオーセンティケータを提供してリスクおよび不正分析を実行します。

Access ManagerによりOracle Adaptive Access Managerの強力な認証機能を利用する方法には、次の2つがあります。

- OAAMとAccess Managerとの基本統合
ナレッジベース認証(KBA)など、ログイン・セキュリティを追加するAccess Managerユーザーは、OAAMとAccess Managerとの基本統合(OAAM基本統合)を使用できます。このオプションではまだOAAM管理サーバーが必要ですが、個別のOAAMサーバーのデプロイメントは不要です。機能には、ネイティブのOAAMコールによりアクセスします。OAAM基本統合オプションでは、OAAMとAccess Managerとの拡張統合(OAAM拡張統合)オプションよりフットプリントが小さくなります。

OAAM基本統合とOAAM拡張統合との違いは、OAAM基本統合では、ショート・メッセージ・サービス(SMS)、電子メールまたはインスタント・メッセージング(IM)を通じたワンタイム・パスワード(OTP)などの拡張機能にアクセスできないという点です。また、このネイティブ統合は、基本画面のブランド以外にカスタマイズできません。

- OAAMとAccess Managerとの拡張統合
ネイティブ統合で使用可能なもの以外の拡張機能およびカスタマイズを必要とするAccess Managerユーザーは、OAAMとAccess Managerとの拡張統合(OAAM拡張統合)を使用できます。Java Oracle Access Protocol (OAP)ライブラリ、Oracle Access ManagerとOracle Adaptive Access Managerの統合を利用するには、完全なOAAMデプロイメントが必要です。

実装の詳細は、第8章「Oracle Adaptive Access ManagerとAccess Managerの統合」を参照してください。

9.1.2 パスワード管理のデプロイメント・オプション

Access Manager、Oracle Identity ManagerおよびOracle Adaptive Access Managerを統合することによって、Access Managerによって保護されたアプリケーション向けにパスワード管理機能を実装できます。

この項では、パスワード管理のデプロイメント・オプションについて説明します。各デプロイメントでサポートされるシナリオおよび各シナリオを実現するフローの詳細は第1.5項「一般的な統合のシナリオ」を参照してください。

パスワード管理のコンテキストでは、Access Managerは様々なデプロイ・モードで動作します。

1. 認証およびパスワード管理のためにAccess ManagerとOracle Identity Managerを統合します。
詳細は、第1.5.3.1項「Access ManagerをOracle Identity Managerと統合する場合」を参照してください。

2. 認証、パスワード管理、不正検出および追加機能のためにAccess Manager、Oracle Identity ManagerおよびOracle Adaptive Access Managerを統合します。
処理フローの詳細は、第1.5項「一般的な統合のシナリオ」を参照してください。

実装の詳細は、第9.3項「統合ロードマップ」を参照してください。

3. Access Managerは、Oracle Access Managementコンソールを介してパスワード・ポリシー管理機能も提供します。パスワード・ポリシーは、Access Managerによって保護されるすべてのリソースに適用されます。この機能は、この章に記載されているAccess Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合では使用されません。Oracle Access Management機能の詳細は、 Oracle Fusion Middleware Oracle Access Manager管理者ガイドの一般的なサービス、証明書の検証およびパスワード・ポリシーの管理に関する項を参照してください。

9.2 定義、頭文字および略語

この項では、Access Manager、Oracle Identity ManagerおよびOracle Adaptive Access Managerの統合に関係する主な定義、頭文字および略語を示します。

表9-2 拡張統合に関する用語

用語

定義

アクション

Oracle Adaptive Access Managerには、アクセス・リクエスト、イベントまたはトランザクションのリスクを計算し、不正や誤用を防止するための適切な結果を判断する機能が備えられています。この結果がアクションとなる場合があります。アクションは、ルールがトリガーされるときにアクティブ化されるイベントです。たとえば、ブロック・アクセス、チャレンジ質問、PINまたはパスワード要求などがあります。

詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のポリシー、ルールおよび条件の管理に関する項を参照してください。

Access Managerとの拡張統合

拡張オプションは、Access ManagerとOracle Adaptive Access Managerの完全なデプロイメントとの統合であり、Oracle Identity Managerの統合を伴う場合と伴わない場合があります。

- 完全なOAAMデプロイメントを伴い、Oracle Identity Managerを伴わないAccess ManagerとOracle Adaptive Access Managerとの統合。このオプションでは、認証スキーム、デバイスのフィンガープリント、リスク分析、KBAチャレンジ・メカニズム、およびステップアップ認証などその他の高度なセキュリティ・アクセス機能を提供します。これには、OTP Anywhere、チャレンジ・プロセッサ・フレームワーク、共有ライブラリ・フレームワーク、安全なセルフサービスのパスワード管理フローなどの拡張機能および拡張性が含まれます。

- Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合。このオプションでは、拡張機能を使用でき、ネイティブ統合で使用可能なもの以外へのカスタマイズが可能です。Java OAPライブラリ、Oracle Access ManagerとOracle Adaptive Access Managerの統合を利用するには、フルOAAMデプロイメントが必要です。

アラート

アラートは、イベントが発生したことを示すメッセージです。イベントには、ルールがトリガーされた、トリガー組合せが満たされた、オーバーライドが使用されたなどがあります。

アラート・グループは、ルールがトリガーされた場合にグループ内のすべてのアラートが作成されるように、ルール内の結果として使用されます。

詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のポリシー、ルールおよび条件の管理に関する項を参照してください。

認証

認証とは、ユーザー、デバイスおよびアプリケーションのアイデンティティを検証するプロセスです。認証によって、誰が特定のサービスへのアクセスを試行しているかが識別されます。

認証レベル

Access Managerでは、様々なリソースへのアクセスに必要となる個別のセキュリティ・レベルを提供できるよう、リソースで構成可能な様々な認証レベルをサポートししています。個別の認証レベルにより、保護度合の高いリソースが他のリソースから区別されます。Access Managerが送信するTAPトークンにより、認証レベルに関連するパラメータが提供されます。

認証スキームの信頼レベルには、ユーザーからの資格証明のトランスポートの保護に使用されるチャレンジ・メソッドおよび信頼度が反映されます。

信頼レベルは、0(信頼なし)から99(最高の信頼レベル)の整数値で表現されます。

注意: 指定されたレベルのリソースにユーザーが認証された後、リソースが元のリソースと同等またはそれ以下の信頼レベルである場合に、同じアプリケーション・ドメインまたは異なるアプリケーション・ドメインの他のリソースでユーザーが自動的に認証されます。

現在の認証レベルとは、ユーザーの現在の認証レベルです。

ターゲット認証レベルとは、保護されたリソースへのアクセスに必要な認証レベルです。

認可

認可によって、どのコンポーネントから提供されるどのリソースに誰がアクセスできるかが識別されます。

認証スキーム

リソースまたはリソースのグループへのアクセスは、認証スキームという単一の認証プロセスで制御できます。認証スキームは、ユーザーの認証に必要なチャレンジ・メカニズムを定義する名前の付いたコンポーネントです。各認証スキームは、定義された認証モジュールも含む必要があります。

Oracle Access Managementコンソールまたはリモート登録ツールを使用してパートナを登録する場合、作成されるアプリケーション・ドメインは、デフォルト・スキームとして設定される認証スキームを使用するポリシーでシードされます。ポリシー作成中に使用されるデフォルトとして、既存の認証スキームを選択できます。

Authentipadチェックポイント

Authentipadチェックポイントは、使用するデバイスの目的に基づいて、そのデバイスのタイプを特定します。

Access ManagerとOAAMとの基本統合

ナレッジベース認証(KBA)など、ログイン・セキュリティを追加することを望んでいるAccess Managerユーザーは、基本(ネイティブ)統合オプションを使用できます。このオプションではまだOAAM管理サーバーが必要ですが、OAAMサーバーの個別のデプロイメントを必要としません(この機能にはネイティブのOAAMコールを介してアクセスします)。したがって、フットプリントが小さくなります。

ネイティブ統合では、SMS、電子メールまたはIMを通じたワンタイム・パスワード(OTP)などの拡張機能にアクセスできません。ネイティブ統合は、基本画面のブランド以外にカスタマイズできません。

ブロック済

ポリシーの特定の条件がtrueになり、そのポリシーがこのような条件にブロック・アクションで応答するように設定されている場合、ユーザーは「ブロック済」になります。該当する条件が変更されると、ユーザーは「ブロック済」ではなくなる場合があります。「ブロック済」ステータスは必ずしも永続的なものではないため、解決に管理者のアクションを必要としない場合があります。

チャレンジ・パラメータ

チャレンジ・パラメータは、Webゲートおよび資格証明コレクタ・モジュールによって使用および解釈される短いテキスト文字列で、その値で示された方法で動作します。チャレンジ・パラメータは、次の構文で指定します。

<parameter>=<value>

これは、Webゲートのリリース(10gと11g)に固有の構文ではありません。認証スキームは、Webゲートのリリースから独立しています。

チャレンジ質問

チャレンジ質問は、セカンダリ認証に使用される有限の質問リストです。

登録中、ユーザーにはいくつかの質問メニューが提示されます。たとえば、3つの質問メニューが提示される場合があります。登録中、ユーザーはメニューごとに質問を1つ選択し、その回答を入力する必要があります。質問メニューごとに1つのみ質問を登録できます。これらの質問は、ユーザーの登録済質問になります。

OAAM管理内のルールによってチャレンジ質問がトリガーされると、OAAMサーバーでは、チャレンジ質問を表示し、ユーザーにとってセキュアな方法で回答を受け入れます。質問はQuestionPad、TextPadおよびその他の仮想認証デバイスで提示でき、この場合、チャレンジ質問はオーセンティケータのイメージまたは簡単なHTMLに埋め込まれます。

チェックポイント

チェックポイントは、Oracle Adaptive Access Managerがセッション内でルール・エンジンを使用してセキュリティ・データを収集および評価する特定のポイントです。

チェックポイントの例を次に示します。

- 認証前: ルールはユーザーが認証プロセスを完了する前に実行されます。

- 認証後: ルールはユーザーが正常に認証された後に実行されます。

詳細は、Oracle Fusion Middleware Oracle Adaptive Access Management管理者ガイドのポリシー、ルールおよび条件の管理に関する項を参照してください。

委任認証プロトコル

委任認証プロトコル(DAP)チャレンジ・メカニズムでは、外部オプションを使用する標準チャレンジのFORMメカニズムと異なり、Access Managerが受け取ったトークンのアサーションを実行します。

デバイス

デバイスとは、コンピュータ、PDA、携帯電話、キオスクおよびユーザーにより使用されるその他のWeb対応デバイスです。

デバイスのフィンガープリント処理

デバイスのフィンガープリント処理では、ブラウザ・タイプ、ブラウザ・ヘッダー、オペレーティング・システム・タイプ、ロケールなどのデバイスに関する情報が収集されます。フィンガープリント・データは、デバイスについてログイン・プロセス中に収集される、ログインに使用したデバイスの識別に必要なデータを表します。フィンガープリント処理のプロセスでは、反射攻撃およびCookieベースの登録バイパス・プロセスからの保護を目的とした、ユーザーに対して一意であるフィンガープリントが生成されます。フィンガープリント詳細は、デバイスの識別、それがセキュアであるかどうかの確認および認証またはトランザクションのリスク・レベルの特定に役立ちます。

通常カスタマがログインに使用するデバイスには、PC、ノートブック、携帯電話、スマートフォンまたはその他のWeb対応マシンがあります。

ナレッジベース認証(KBA)

ナレッジベース認証(KBA)は、二次的な認証方式で、登録済チャレンジ質問に基づくインフラストラクチャを提供します。

エンドユーザーが、後にそのユーザーに対するチャレンジで使用される質問を選択し、回答を指定できるようにします。

セキュリティ管理には次のような内容が含まれます。

- チャレンジ質問および回答の登録を管理する登録ロジック

- チャレンジ・レスポンス処理で正しい回答をインテリジェントに検出する回答ロジック

- 登録時にユーザーが指定した回答の検証

詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のナレッジベース認証の管理に関する項を参照してください。

KeyPad

パスワードやクレジット・カード番号などの入力に使用する仮想キーボードです。KeyPadによって、トロイの木馬やキーロギングからの保護が提供されます。

LDAPScheme

フォーム・チャレンジ・メソッドに基づくほとんどのディレクトリ・タイプのAccess Manager関連リソース(URL)を保護するために使用する認証スキームです。

マルチレベル認証

各認証スキームには認証レベルが必要です。この数値が低いほど、スキームが厳密ではなくなります。高いレベルの数値は、よりセキュアな認証メカニズムを示します。

シングル・サインオン(SSO)機能により、ユーザーは2つ以上の保護されたリソースまたはアプリケーションにシングル・サインオンでアクセスできます。特定のレベルのユーザーの認証に成功した後、ユーザーは、1つ以上のアプリケーション・ドメインで保護された1つ以上のリソースにアクセスできます。ただし、アプリケーション・ドメインで使用される認証スキームは、同じレベル(または下位のレベル)にする必要があります。ユーザーが現在のSSOトークンのレベルを超える認証レベルで保護されたリソースにアクセスする場合、再認証されます。ステップアップ認証の場合、高いレベルで示されるチャレンジに失敗しても、ユーザーは現在のレベルのアクセスを維持します。これは「追加認証」です。

詳細は、『Oracle Fusion Middleware Oracle Access Management管理者ガイド』の認証および共有ポリシー・コンポーネントの管理に関する項を参照してください。

Oracle Accessプロトコル(OAP)

Oracle Accessプロトコル(OAP)は、ユーザー認証および認可の間に、アクセス・システム・コンポーネント(OAMサーバー、Webゲートなど)間の通信を可能にします。このプロトコルは、以前NetPointアクセス・プロトコル(NAP)またはCOREidアクセス・プロトコルと呼ばれていました。

ワンタイム・パスワード(OTP)

ワンタイム・パスワードは、リスク・ベースのチャレンジ・ソリューションであり、構成済のアウト・オブ・バンド・チャネルを経由してエンド・ユーザーに送信されるサーバー生成のワンタイム・パスワードから構成されます。サポートされているOTPデリバリ・チャネルには、ショート・メッセージ・サービス(SMS)、電子メールおよびインスタント・メッセージがあります。OTPは、KBAチャレンジを補完するために、またはKBAのかわりに使用できます。また、OTPとKBAは、いずれも、デプロイメント内で他に必要となる、実質的にすべての認証タイプとともに使用できます。Oracle Adaptive Access Managerでは、チャレンジ・プロセッサ・フレームワークも提供されます。このフレームワークを使用すると、サード・パーティ認証製品またはサービスをOAAMリアルタイム・リスク評価と組み合せた、リスク・ベースのカスタム・チャレンジ・ソリューションを実装できます。

詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のOTP Anywhereの設定に関する項を参照してください。

Access ManagerとOracle Adaptive Access ManagerのTAP統合

Access ManagerとOAAMとのTAP統合では、OAAM Serverは信頼できるパートナ・アプリケーションとして動作します。OAAMサーバーは厳密認証、リスクおよび不正分析の実行後にTrusted Authentication Protocol (TAP)を使用して認証済のユーザー名をOAMサーバーに送信し、OAMサーバーは保護されたリソースへリダイレクトする役割を果たします。

OAAM管理

OAAM管理コンソールです。すべての環境およびAdaptive Risk ManagerとAdaptive Strong Authenticatorの機能を管理するWebアプリケーションです。

OAMAdminConsoleScheme

Oracle Access Management管理コンソールの認証スキーム。

OAAMAdvanced

外部コンテキスト・タイプのリソースを保護する認証スキームです。OAAMとの完全な統合が必要な場合、この認証スキームが使用されます。Webゲートは、パートナのフロント・エンド処理を行う必要があります。

OAAMBasic

デフォルト・コンテキスト・タイプのリソースを保護する認証スキームです。OAAMとAccess Managerとの基本統合が必要な場合、このスキームを使用する必要があります。ここでは、OTPなどの拡張機能はサポートされません。

OAAMサーバー

ルール・エンジンおよびエンド・ユーザー・インタフェース・フローを含むランタイム・コンポーネントです。ネイティブ統合を除くすべてのデプロイメント・タイプで使用される、Adaptive Risk ManagerとAdaptive Strong Authenticationの機能、Webサービス、LDAP統合およびユーザーWebアプリケーションを提供します。

ポリシー

ポリシーには、各チェックポイントでリスクのレベルを評価するために使用される、セキュリティ・ルールおよび構成が含まれます。

詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のポリシー、ルールおよび条件の管理に関する項を参照してください。

認証後ルール

ルールはユーザーが正常に認証された後に実行されます。

詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のポリシー、ルールおよび条件の管理に関する項を参照してください。

認証前ルール

ルールはユーザーが認証プロセスを完了する前に実行されます。

詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のポリシー、ルールおよび条件の管理に関する項を参照してください。

プロファイル

セキュリティ・フレーズ、イメージ、チャレンジ質問、チャレンジ(質問およびOTP)カウンタおよびOTPを含む、カスタマの登録情報です。

保護レベル

次の3つの保護レベルから選択します。

- 保護(デフォルト)。保護されているリソースは、様々な認証スキーム(LDAPなど)を使用する保護レベル認証ポリシーに関連付けられます。認可ポリシーは保護されているリソースに対して許可されます。レスポンス、制約、監査およびセッション管理は、リソースを保護するポリシーを使用して保護されているリソースに対して有効化されます。

- 非保護。保護されていないリソースは、様々な認証スキーム(LDAPなど)を使用する非保護レベル認証ポリシー(レベル0)に関連付けられます。認可ポリシーは保護されていないリソースに対して許可されますが、このようなアクセスを許可するための基本ポリシーが必要です。ただし、制約およびレスポンスが含まれる複雑なポリシーは不適切です。レスポンス、制約および監査は、リソースを保護するポリシーを使用して保護されていないリソースに対して有効化されます。セッション管理のみが有効化されていません。保護されていないリソースにアクセスすると、WebゲートからのOAMサーバー・チェックが引き起こされます(監査可能)。

- 除外(パブリック)。HTTPリソース・タイプのみが除外できます。通常はイメージ(*.jpg, *.png)などのセキュリティの区別がないファイルで、保護レベルが「除外」のリソースでは、認証、認可、レスポンス処理、セッション管理および監査に対するOAMサーバー・チェックは必要ありません。除外されたリソースは、Oracle Access Managementコンソール内のユーザー定義ポリシーには追加できません。除外されたリソースへのアクセスを許可している間、WebゲートはOAMサーバーにコンタクトしないため、アクセスは監査されません。最も標準的なリソース検証が、除外されたリソースに適用されます。ただし、リソースをポリシーに追加するときに、除外されたリソースはリストに表示されていません。リソースに関連付けられた認証または認可はありません。注意: リソース保護レベルが「保護」から「除外」に変更され、そのリソースに対するポリシーが存在する場合、リソースとポリシーとの関連付けを解除するまで、変更は失敗します。

登録

登録とは、登録処理、新しいアカウントのオープンまたは情報がユーザーから取得されるその他のイベントです。

登録処理中に、ユーザーは質問、イメージ、フレーズおよびデプロイメントでOTPがサポートされている場合には、OTP (電子メールや電話など)に登録するように求められます。正常に登録すると、OTPを第2認証として使用し、ユーザーにチャレンジできます。

リスク・スコア

OAAMのリスク・スコアリングは、有効なユーザー、デバイス、ロケーションなど、多数の不正検出入力の積です。これらの入力は、OAAM不正分析エンジン内部で重み付けされて分析されます。ポリシーによって、何十個もの属性とファクタに基づいてリスク・スコアが生成されます。ポリシー内のルールがどのように構成されているかに基づいて、よりリスクの高い状況に対しては昇格したリスク・スコアを生成し、よりリスクの低い状況に対しては低いスコアを生成できます。昇格の程度は、特定のリスクに割り当てられた重みによって調整できます。その後、ルール・エンジンでリスク・スコアが入力として使用されます。ルール・エンジンによって不正リスクが評価され、実行する必要のあるアクションが決定されます。

ルール

不正ルールを使用して、各チェックポイントでのリスクのレベルを評価します。ポリシーおよびルールの詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のOAAMのポリシーの概念およびリファレンスに関する項を参照してください。

シングル・サインオン(SSO)

シングル・サインオン(SSO)は、ユーザーが一度の認証で複数の保護されたリソース(Webページやアプリケーション)にアクセスできるようにするプロセスです。

ステップアップ認証

ステップアップ認証は、ユーザーがこのセッションですでにアクセスしたものより機密性の高いリソースにアクセスを試みると発生します。より機密性の高いリソースへのアクセス権を得るには、より高いレベルの保証が必要です。Oracle Access Managementリソースは、認証レベルによりランク付けされます。認証レベルでは、リソースの相対的な機密性を定義します。

たとえば、ユーザーが認証レベル3と定義されている企業ポータルのホームページにアクセスする場合、基本パスワード認証が必要となります。ポータルのホームページからリンクされているタイム・カード・アプリケーションは、ポータルのホームページより機密性が高く、認証レベル4として定義されます。このレベルでは、基本認証に加え、Oracle Adaptive Access Managerにより提供されるリスクベースの認証が必要となります。したがって、ユーザーが有効なユーザー名とパスワードでポータルにログインし、タイム・カード・リンクをクリックすると、そのデバイスはフィンガープリント処理され、リスク分析によってアクセスを許可するためにチャレンジ質問などの追加認証が必要かどうかが決定されます。

厳密認証

認証要素は、セキュリティ制約に従ってアクセスをリクエストする個人または他のエンティティのIDを認証または検証するために使用される、情報やプロセスです。2つの要素による認証(T-FA)は、2つの異なる要素を組み合せて認証に使用するシステムです。要素を1つではなく2つ使用すると、一般的に、認証の保証のレベルが高まります。

複数の要素を使用することを厳密認証またはマルチファクタ認証と呼ぶ場合があります。

TAP

TAPは、Trusted Authentication Protocolを表します。これは、サード・パーティにより認証が行われる場合およびAccess Managerが戻されたトークンをアサートする場合に使用されます。トークンをアサートした後、Access ManagerはそのCookieを作成し、通常のシングル・サインオン・フローを続行します。OAMサーバーと認証を行う外部のサード・パーティ間には信頼できるメカニズムが存在します。このシナリオでは、Access Managerはオーセンティケータではなくアサータとして機能します。

TAPScheme

これは、TAPを使用したAccess ManagerとOAAMとの統合で、リソースを保護するために使用される認証スキームです。異なるtapRedirectUrlを持つ2つのTAPパートナが必要な場合は、Oracle Access Managementコンソールを使用して新しい認証スキームを作成し、そのスキームを使用します。

構成されたこの認証スキームは、リクエストをアクセス・サーバーに送信する前に、コンテキスト固有の情報を収集できます。コンテキスト固有の情報は、情報の外部コールの形を取ることができます。

TextPad

通常のキーボードを使用してパスワードまたはPINを入力するためのパーソナライズされたデバイス。このデータ入力方法は、フィッシングからの防御に役立ちます。大規模なデプロイメントでは、TextPadがすべてのユーザーのデフォルトとしてデプロイされることが多く、その後、各ユーザーが必要に応じて個別に別のデバイスにアップグレードできます。ユーザーが登録した個人イメージおよびフレーズは、ユーザーが有効なサイトにログインするたびに表示され、ユーザーとサーバーとの間の共有シークレットとして機能します。

仮想認証デバイス

パスワードまたはPINを入力するためのパーソナライズされたデバイス、または認証資格証明を入力するためのデバイスです。仮想認証デバイスでは、認証資格証明の入力と送信のプロセスを強化し、エンド・ユーザーが有効なアプリケーションに対して認証していることを検証します。

Webエージェント

シングル・サインオン・エージェント(ポリシー施行エージェントまたは単純にエージェントとも呼ばれます)は、アクセス・クライアントとして機能する任意のフロントエンドのエンティティで、エンタープライズ・アプリケーション間でシングル・サインオンを可能にします。

保護されたリソースへのアクセスを安全にするには、Webサーバーやアプリケーション・サーバー、サード・パーティアプリケーションを登録済のポリシー強制エージェントに関連付ける必要があります。エージェントはHTTPリクエストのフィルタとして機能し、アプリケーションが存在するWebサーバーをホストするコンピュータ上にインストールする必要があります。

個々のエージェントは、エージェントとOAMサーバー間で必要な信頼を設定するためにAccess Manager 11gに登録する必要があります。登録されたエージェントは、認証タスクをOAMサーバーに委任します。

Webゲート

アクセス・クライアントとして機能するWebサーバー・プラグインです。Webゲートは、WebリソースのHTTPリクエストを捕捉して、認証および認可のためにOAMサーバーに転送します。

9.3 統合ロードマップ

表9-3は、Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合のための大まかなタスクをリストしたものです。

表9-3 Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合フロー

番号

タスク

情報

1

統合の前に必要なすべてのコンポーネントがインストールおよび構成されていることを確認します。

詳細は、「統合の要件」を参照してください。

2

Access ManagerとOracle Identity Managerを統合します。

詳細は、「Access ManagerとOracle Identity Managerの統合」を参照してください。

3

Oracle Identity Managerに対してLDAP同期を有効にします。これは、Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合に必要となります。

詳細は、「Oracle Identity Managerに対するLDAP同期の有効化」を参照してください。

4

Access ManagerとOracle Adaptive Access Managerを統合します。

詳細は、「Access ManagerとOracle Adaptive Access Managerの統合」を参照してください。

5

OAAMとOIMの統合を設定します。

詳細は、「Oracle Identity ManagerとOracle Adaptive Access Managerの統合」を参照してください。

6

各自の要件によっては必要となる可能性のある追加の構成を実行します。

詳細は、「その他の構成タスクの実行」を参照してください。

9.4 統合の要件

Oracle Access Management Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerを統合する前に、依存関係を含む必要なすべてのコンポーネントをインストールし、後に続く統合タスクに備えて環境を構成しておく必要があります。

注意:

インストールおよび構成に関する主な情報はこの項で提供しています。ただし、ここでは、すべてのコンポーネントの前提条件、依存関係およびインストール手順が示されているわけではありません。必要に応じて情報を環境に適応させてください。

完全なインストール情報については、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』の説明に従ってください。

表9-4は、Oracle Access Management Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合タスクを実行する前にインストールおよび構成する必要のあるコンポーネントをリストしたものです。

表9-4 Access Manager、OAAMおよびOIMの統合に必要なコンポーネント

コンポーネント

情報

Oracleデータベース

Oracle Identity and Access Managementをインストールする前に、Oracle Databaseがシステムにインストールされていることを確認してください。関連するOracle Identity and Access Managementコンポーネントをインストールするには、データベースが稼働している必要があります。

詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のデータベースの前提条件に関する項を参照してください。

保証されたデータベースの詳細は、Oracle Identity and Access Management 11gリリース2 (11.1.2)のOracle Fusion Middlewareのシステム要件と仕様のドキュメントのデータベース要件に関するトピックを参照してください。

Repository Creation Utility (RCU)

リポジトリ作成ユーティリティをインストールおよび実行し、データベースにAccess Manager、OAAMおよびOIMのスキーマを作成します。インストールしている製品とバージョン互換性のあるリポジトリ作成ユーティリティを使用する必要があります。

注意: Oracle Identity and Access Management 11gリリース2 (11.1.2.1.0)コンポーネントのデータベース・スキーマをインストールする前に、Oracle Fusion Middleware Repository Creation Utilityの11gリリース2 (11.1.2.1.0)バージョンを使用する必要があります。

Oracle Fusion Middlewareリポジトリ作成ユーティリティ(RCU)はOracle Technology Network (OTN) Webサイトで入手できます。RCUの使用方法の詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Fusion Middlewareリポジトリ作成ユーティリティ(RCU)を使用したデータベース・スキーマの作成に関する項および『Oracle Fusion Middleware Repository Creation Utilityユーザーズ・ガイド』を参照してください。

Oracle DatabaseのRCU要件の詳細は、Oracle Identity and Access Management 11gリリース2 (11.1.2)のOracle Fusion Middlewareのシステム要件と仕様のドキュメントでOracle DatabaseのRCU要件に関する項を参照してください。

Oracle Virtual Directory

この章の手順では、Oracle Internet Directoryがアイデンティティ・ストアとして構成され、Oracle Virtual Directoryがフロントエンドとなっていることを前提としています。

OVDの構成の詳細は、第6章「Oracle Access Management Access Managerと統合するためのOracle Virtual Directoryの構成」および第4章「Oracle Identity Managerと統合するためのOracle Virtual Directoryの構成」を参照してください。

Oracle Internet Directory

この章の手順では、Oracle Internet Directoryがアイデンティティ・ストアとして構成され、Oracle Virtual Directoryがフロントエンドとなっていることを前提としています。

詳細は、第5章「Oracle Internet DirectoryとAccess Managerの統合」を参照してください。

Access Manager用Oracle WebLogic Server、Oracle Adaptive Access Manager、Oracle Identity ManagerおよびOracle HTTP Server

WebLogic Serverをインストールする前に、ご使用のマシンがシステム、パッチ、カーネルおよびその他の要件を満たしていることを確認します。

Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerは、同じWebLogicドメインにも、別のWebLogicドメインにも構成できます。デフォルトでは、Access ManagerとOAAMのアプリケーションは別のWebLogicドメインに構成されます。

Oracle WebLogic Serverのインストールの詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverインストレーション・ガイド』を参照してください。

Access Manager

Access Managerのインストールおよび構成については、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Identity and Access Management (11.1.2)のインストールと構成に関する項およびOracle Access Managementの構成に関する項を参照してください。

異なるWebLogicサーバーにOracle Access Management Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerをインストールします。

Oracle Adaptive Access ManagerおよびAccess Managerは新規または既存のWebLogicドメインに配置できます。これらは同じドメインに配置することも、別のWebLogicドメインに配置することもできます。

インストール時に、Access Managerはデータベース・ポリシー・ストアとともに構成されます。Access ManagerとOracle Adaptive Access Managerの接続には、データベース・ポリシー・ストアが必要です。

OAAM

Oracle Adaptive Access Managerのインストールおよび構成については、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Identity and Access Management (11.1.2)のインストールと構成に関する項およびOracle Adaptive Access Managerの構成に関する項を参照してください。

OIM

詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Identity and Access Managementのインストールと構成に関する項およびOracle Identity Managerの構成に関する項を参照してください。

注意: Oracle Identity Managerの構成の際、LDAPディレクトリをアイデンティティ・ストアとして使用するには、あらかじめこれを構成する必要があります。LDAP同期の有効化の要件を含め、すべてのインストール指示に従ってください。詳細は、次の項を参照してください。

- OIMサーバーの構成に関する項

- LDAP同期を有効にするための前提条件の実行に関する項および

- Oracle Virtual Directoryでのアダプタの作成に関する項

(すべて『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』内)

注意: Oracle Identity Managerのインストール時に、wlfullclient.jarを作成する必要があります。このファイルは、統合手順を実行する前に用意しておく必要があります。

Oracle SOA Suiteおよびパッチ

SOA Suiteのインストールの詳細は、『Oracle Fusion Middleware Oracle SOA SuiteおよびOracle Business Process Management Suiteインストレーション・ガイド』を参照してください。

Oracle HTTP Server

HTTP Serverのインストールの詳細は、『Oracle Fusion Middleware Oracle Web Tierインストレーション・ガイド』を参照してください。

Oracle HTTP Server 11gインスタンス上のOracle HTTP Server 11gのOracle Access Manager 10gまたはAccess Manager 11gエージェント(Webゲート)

Access ManagerとともにWebゲートをインストールする前に、Oracle Technology NetworkからOracle Fusion Middlewareでサポートされているシステム構成を確認して、デプロイメントに使用する10gまたは11g Webゲートの証明書情報を検索します。

Access Manager 11gで使用するための10g Webゲートのインストールおよび登録の詳細は、『Oracle Fusion Middleware Oracle Access Management管理者ガイド』の10g WebゲートのAccess Manager 11gへの登録および管理に関する項を参照してください。

Access Manager 11gで使用するための11g WebGateのインストールおよび登録の詳細は、『Oracle Fusion Middleware WebGates for Oracle Access Managerのインストール』のOracle HTTP Server 11g WebGate for OAMのインストールおよび構成に関する項を参照してください。

注意: Oracle HTTP Server 11gリリース2 WebGate for Access Managerは、Oracle IdentityコンポーネントとAccess Managementコンポーネント間の統合を設定するOracle Identity and Access Management環境での使用を意図したものではありません。

IdentityManagerAccessGate 10g Webゲート・プロファイル

Access ManagerとOracle Adaptive Access Managerの統合では、IdentityManagerAccessGate 10g Webゲート・プロファイルが存在する必要があります。これは、Oracle Access Managementコンソールで「システム構成」→「エージェント」→「10gWebGates」にナビゲートすることによって検証できます。

次の手順は、すぐに使用できる統合によりAccess ManagerとOracle Identity Managerが統合されていることを前提としています。

注意:

必要に応じて、Oracle Access Management Access ManagerおよびOracle Adaptive Access Managerを別のドメインまたは同じWebLogicドメインにインストールできます。

複数のドメインに対するインストールでは、oaam.csf.useMBeansプロパティをtrueに設定する必要があります。このパラメータの設定の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』の資格証明ストア・フレームワーク(CSF)構成の設定に関する項を参照してください。

次の統合手順では、参照用に、Oracle Access Management Access Managerが含まれているWebLogic ServerドメインをOAM_DOMAIN_HOME、OAAMが含まれているWebLogic ServerドメインをOAAM_DOMAIN_HOMEとして表します。

9.5 Access ManagerとOracle Identity Managerの統合

Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの間の統合には、Oracle Identity ManagerおよびAccess Managerの間の統合が必要です。

詳細は、第7章「Access ManagerとOracle Identity Managerの統合」を参照してください。

9.6 Oracle Identity Managerに対するLDAP同期の有効化

Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの間の統合には、Oracle Identity Manager用のLDAP同期の有効化が必要です。

Oracle Adaptive Access Managerは、Oracle Identity Managerが同期するのと同じディレクトリで動作します。

注意:

UIDはLDAPストア内の新しく作成されたユーザーのCNに一致する必要があり、そうしないとログインが失敗します。

Oracle Identity Managerに対するLDAP同期の有効化については、第3章「Oracle Identity ManagerにおけるLDAP同期の有効化」を参照してください。

9.7 Access ManagerとOracle Adaptive Access Managerの統合

このタスクでは、Access Manager、Oracle Identity ManagerおよびOracle Adaptive Access Managerの統合の一環として、Access ManagerとOracle Adaptive Access Managerのコンポーネントを統合することによって、パスワード管理およびチャレンジ関連機能をAccess Managerによって保護されたアプリケーションに提供します。

注意:

Access Manager、Oracle Identity ManagerおよびOracle Adaptive Access Managerの統合では、IdentityManagerAccessGateプロファイルがAccess ManagerとOracle Identity Managerの統合中に構成されているため、すでに存在しています(第9.5項「Access ManagerとOracle Identity Managerの統合」を参照してください)。

Access ManagerとOracle Adaptive Access Managerの統合は、OAAMサーバーが信頼できるパートナ・アプリケーションとして動作するように構成します。OAAMサーバーでは、厳密認証、リスクおよび不正分析の実行後にTrusted Authentication Protocol (TAP)を使用して認証済のユーザー名をOAMサーバーに送信します。この統合では、OAMサーバーは保護されたリソースにリダイレクトします。

Oracle Adaptive Access ManagerとAccess Managerの統合の詳細は、第8章「Oracle Adaptive Access ManagerとAccess Managerの統合」を参照してください。

表9-5は、Access ManagerとOracle Adaptive Access Managerの統合のための大まかなタスクをリストし、その手順が示されている場所への参照を示しています。

この構成手順では、Access ManagerとOracle Adaptive Access Managerをすぐに使用できる統合を使用して統合することを前提としています。

表9-5 Access ManagerとOracle Adaptive Access Managerとの統合フロー

番号

タスク

情報

1

統合の前に必要なすべてのコンポーネントがインストールおよび構成されていることを確認します。

詳細は、「統合の要件」を参照してください。

2

Access ManagerとOAAMの管理コンソールおよび管理対象サーバーが実行されていることを確認します。

詳細は、「サーバーの再起動」を参照してください。

3

OAAM管理ユーザーおよびOAAMグループを作成します。OAAM管理コンソールにアクセスする前に、管理ユーザーを作成する必要があります。

詳細は、「OAAM管理ユーザーおよびOAAMグループの作成」を参照してください。

4

OAAMベース・スナップショットをインポートします。Oracle Adaptive Access Managerには、ポリシー、依存コンポーネントおよび構成のフル・スナップショットが付属しています。Oracle Adaptive Access Managerを動作させるには、スナップショットをシステムにインポートする必要があります。

詳細は、「Oracle Adaptive Access Managerスナップショットのインポート」を参照してください。

5

Access Managerが正しく設定されたことを確認します。Oracle Access Managementコンソールに正常にログインできる必要があります。

詳細は、「Access Managerの初期構成の検証」を参照してください。

6

OAAMサーバーにアクセスして、Oracle Adaptive Access Managerが正しく設定されていることを確認します。

詳細は、「Oracle Adaptive Access Managerの初期構成の検証」を参照してください。

7

Webゲート・エージェントを、エージェントとOAMサーバー間で必要な信頼メカニズムを設定するためにAccess Manager 11gに登録します。登録後のエージェントは、OAMサーバーとそのサービスとの間の通信と協調して、HTTP/HTTPSリクエストのフィルタとして機能します。エージェントは、Access Managerによって保護されたリソースへのリクエストを捕捉して、Access Managerと連動することでアクセス要件を実現します。

Access Manager 11gで使用するための10g Webゲートのインストールおよび登録の詳細は、『Oracle Fusion Middleware Oracle Access Management管理者ガイド』の10g WebゲートのAccess Manager 11gへの登録および管理に関する項を参照してください。

Access Manager 11gで使用するための11g WebGateのインストールおよび登録の詳細は、『Oracle Fusion Middleware WebGates for Oracle Access Managerのインストール』のOracle HTTP Server 11g WebGate for OAMのインストールおよび構成に関する項を参照してください。

8

OAAMサーバーを信頼できるパートナ・アプリケーションとして動作するようにAccess Managerに登録します。パートナ・アプリケーションは、認証機能をAccess Manager 11gに委任するアプリケーションです。

詳細は、「OAAM Serverのパートナ・アプリケーションとしてのAccess Managerへの登録」を参照してください。

9

エージェント・パスワードを設定します。Access Managerがインストールされると、IAMSuiteAgentというデフォルトのエージェント・プロファイルが作成されます。このプロファイルは、Access Managerとの統合の際にOracle Adaptive Access Managerによって使用されます。IAMSuiteAgentプロファイルが最初に作成されるときには、パスワードはありません。プロファイルがOracle Adaptive Access Managerで統合に使用される前に、パスワードを設定する必要があります。

詳細は、「IAMSuiteAgentプロファイルへのパスワードの追加」を参照してください。

10

IAMSuiteAgentを更新します。

詳細は、「別のコンソールのドメイン・エージェントを使用した場合のドメイン・エージェント定義の更新」を参照してください。

11

Oracle Access Managementテスターを使用してTAPパートナ登録を検証します。

詳細は、「TAPパートナ登録の検証」を参照してください。

12

OAAMでTAP統合プロパティを設定します。

詳細は、「OAAMでのAccess Manager TAP統合プロパティの設定」を参照してください。

13

OAAM TAPSchemeを使用するように統合を構成して、IAMSuiteAgentアプリケーション・ドメイン内のIdentity Management製品リソースを保護します。

詳細は、「TAPSchemeを使用してIAMSuiteAgentアプリケーション・ドメイン内のIdentity Management製品リソースを保護するための統合の構成」を参照してください。

14

ポリシーで保護されたリソースのポリシーでOAAM TAPSchemeを使用してリソースが保護されるように認証スキームを構成します。

詳細は、「TAPSchemeにより保護されるリソースの構成」を参照してください。

15

Access ManagerとOracle Adaptive Access Managerの統合を検証します。

詳細は、「Access ManagerとOracle Adaptive Access Managerの統合の検証」を参照してください。

9.8 Oracle Identity ManagerとOracle Adaptive Access Managerの統合

この項では、Access Manager、Oracle Identity ManagerおよびOracle Adaptive Access Managerの3方向統合のために、Oracle Identity ManagerとOracle Adaptive Access Managerを統合する方法について説明します。

- Oracle Adaptive Access Manager用のOracle Identity Managerプロパティの設定

- Oracle Identity ManagerとOAAMの統合を有効化するためのOAAMプロパティの更新

- 資格証明ストア・フレームワークでのOracle Identity Manager資格証明の構成

- Oracle Identity ManagerとOracle Adaptive Access Manager間のクロス・ドメインの信頼の構成

9.8.1 Oracle Adaptive Access Manager用のOracle Identity Managerプロパティの設定

Oracle Identity ManagerのかわりにOracle Adaptive Access Managerがチャレンジ質問機能を提供するためには、Oracle Identity Managerで、OIM.ChangePasswordURLプロパティおよびOIM.ChangePasswordURLプロパティが有効なOAAM URLに設定され、OIM.DisableChallengeQuestionsがtrueに設定される必要があります。

Oracle Identity Managerプロパティを変更するには、次の手順を実行します。

1. Oracle Identity Managerシステム管理コンソールにログインします。

2. 「システム管理」で「構成」をクリックし、「システム管理」の下で「システム構成」リンクをクリックします。

3. ポップアップ・ウィンドウで、「拡張検索」をクリックします。

4. 次のプロパティを設定し、「保存」をクリックします。

注意:

これらのURLでは、Access Managerで構成したホスト名を使用します。たとえば、Access Managerの構成中に完全なホスト名(ドメイン名あり)を指定した場合は、URLに完全なホスト名を使用します。

表9-6 Oracle Identity Managerのリダイレクト

キーワード

プロパティ名および値

OIM.DisableChallengeQuestions

TRUE

OIM.ChangePasswordURL

Oracle Adaptive Access Managerにあるパスワード変更ページのURL

http://oaam_server_managed_server_host:
oaam_server_managed_server_port/
oaam_server/oimChangePassword.jsp

高可用性(HA)環境では、OAAMサーバーの仮想IP URLを指すようにこのプロパティを設定します。

OIM.ChallengeQuestionModificationURL

Oracle Adaptive Access Managerにあるチャレンジ質問変更ページのURL

http://oaam_server_managed_server_host:
oaam_server_managed_server_port/
oaam_server/oimResetChallengeQuestions.jsp

5. Oracle Identity Managerの管理対象サーバーを再起動します。

9.8.2 Oracle Identity ManagerとOAAMの統合を有効化するためのOAAMプロパティの更新

Oracle Identity Manager用にOAAMプロパティを設定する手順は次のとおりです。

1. OAAM管理コンソールにログインします。

http://oaam_managed_server_host:oaam_admin_managed_server_port/oaam_admin

プロパティ・エディタへのアクセスが可能なユーザーとしてログインします。

2. ナビゲーション・ツリーで、「環境」をクリックしてから、「プロパティ」をダブルクリックします。「プロパティ」検索ページが表示されます。

3. プロパティ値を設定するには、「名前」フィールドに名前を入力して「検索」をクリックします。現在値が検索結果ウィンドウに表示されます

4. 「値」をクリックします。新しい値を入力し「保存」をクリックします。

次のプロパティについて、デプロイ内容に従って値を設定します。

表9-7 Oracle Identity Managerのプロパティ値の構成

プロパティ名

プロパティ値

bharosa.uio.default.user.management.provider.classname

com.bharosa.vcrypt.services.OAAMUserMgmtOIM

oaam.oim.auth.login.config

${oracle.oaam.home}/../designconsole/
config/authwl.conf

oaam.oim.url

t3://OIM-Managed-Server:OIM-Managed-Port

次に例を示します。

t3://host.mycorp.example.com:14000

oaam.oim.xl.homedir

${oracle.oaam.home}/../designconsole

bharosa.uio.default.signon.links.enum.selfregistration.url

自己登録のURLは次のとおりです。

http://OIM-Managed-Server-Host:
OIM-Managed-Server-Port/identity/faces/
register?&backUrl=http://OIM-Managed-Server-Host:OIM-Managed-Server-Port/identity

注意: Oracle HTTP ServerがOIMの前で構成されている場合、OIM管理対象サーバーのホストとポートではなく、Oracle HTTP Serverのホストとポートを値で使用する必要があります。次に例を示します。

http://OHS-HOST:OHS-PORT/identity/faces/register?&backUrl=http://OHS-HOST:OHS-PORT/identity

bharosa.uio.default.signon.links.enum.trackregistration.url

登録のトラッキングのURLは次のとおりです。

http://OIM-Managed-Server-Host:
OIM-Managed-Server-Port/identity/faces/
trackregistration?&backUrl=http://OIM-Managed-Server-Host:OIM-Managed-Server-Port/identity

注意: Oracle HTTP ServerがOIMの前で構成されている場合、OIM管理対象サーバーのホストとポートではなく、Oracle HTTP Serverのホストとポートを値で使用する必要があります。次に例を示します。

http://OHS-HOST:OHS-PORT/identity/faces/trackregistration?&backUrl=http://OHS-HOST:OHS-PORT/identity

bharosa.uio.default.signon.links.enum.trackregistration.enabled

true

bharosa.uio.default.signon.links.enum.selfregistration.enabled

true

oaam.oim.csf.credentials.enabled

true

このプロパティにより、資格証明をプロパティ・エディタを使用して管理するのではなく資格証明ストア・フレームワークで構成するように有効化できます。この手順は、資格証明をCSFに安全に保存するために実行します。

oaam.oim.passwordflow.unlockuser

true

このプロパティは、パスワードを忘れた場合のフローでユーザーの自動ロック解除を有効にします。

9.8.3 資格証明ストア・フレームワークでのOracle Identity Manager資格証明の構成

様々なアクティビティを実行するには、Oracle Adaptive Access ManagerにOIM管理者の資格証明が必要です。Oracle Identity Manager Webゲートの資格証明の鍵は、MAPのoaamに作成されます。OIMの資格証明を資格証明ストア・フレームワークに安全に保存できるように、次の手順に従ってパスワード資格証明をOAAMドメインに追加します。

1. Oracle Fusion Middleware Enterprise Managerコンソールにログインします。

http://weblogic_host:administration_port/em

WebLogic管理者としてログインする必要があります。たとえば、WebLogicなどです。

2. 左側ペインのナビゲーション・ツリーでベース・ドメインを展開します。

3. ドメイン名を選択して右クリックし、メニュー・オプションで「セキュリティ」、サブ・メニューで「資格証明」を選択します。

4. 「マップの作成」をクリックします。

5. 「oaam」をクリックしてマップを選択し、「キーの作成」をクリックします。

6. ポップアップ・ダイアログで「マップの選択」が「oaam」に設定されていることを確認します。

7. 次のプロパティを指定し、「OK」をクリックします。

表9-8 Oracle Identity Managerの資格証明

名前

値

マップ名

oaam

キー名

oim.credentials

キー・タイプ

パスワード

ユーザー名

Oracle Identity Manager管理者のユーザー名

パスワード

Oracle Identity Manager管理者のパスワード

9.8.4 Oracle Identity ManagerとOracle Adaptive Access Manager間のクロス・ドメインの信頼の構成

Oracle Identity ManagerとOracle Adaptive Access Managerが別のドメインにある場合、クロス・ドメインの信頼を構成する必要があります。

Oracle Adaptive Access Managerドメインでクロス・ドメインの信頼を構成します。

1. Oracle Adaptive Access ManagerのWebLogic管理コンソールにログインします。

2. ドメインをクリックし、「セキュリティ」タブを選択します。

3. 「拡張」セクションを展開します。

4. 「クロス・ドメイン・セキュリティの有効化」を選択します。

5. 共有秘密を選択し、これを「資格証明」フィールドと「資格証明の確認」フィールドに入力します。

6. 構成の変更を保存します。

Oracle Identity Managerドメインでクロス・ドメインの信頼を構成します。

1. Oracle Identity ManagerのWebLogic管理コンソールにログインします。

2. ドメインをクリックし、「セキュリティ」タブを選択します。

3. 「拡張」セクションを展開します。

4. 「クロス・ドメイン・セキュリティの有効化」を選択します。

5. 共有秘密を選択し、これを「資格証明」フィールドと「資格証明の確認」フィールドに入力します。
OAAMドメインでクロス・ドメインの信頼を構成したときに使用したものと同じ共有秘密を使用します。

6. 構成の変更を保存します。

9.9 その他の構成タスクの実行

この項では、Access Manager、OAAMおよびOIMの統合の構成および管理に関するその他のトピックについて説明します。要件によっては、前述のタスクの他にタスクを実行する必要が生じる場合があります。

Access ManagerとOAAMの統合については、第8.5項「Access ManagerとOAAMとの統合のその他のタスク」を参照してください。

9.10 一般的な問題のトラブルシューティング

この項では、Access Manager、OAAMおよびOIMの統合環境で発生する可能性のある一般的な問題について示し、これらの解決方法を説明します。内容は次のとおりです。

- ユーザーが機能しないURLに遭遇する

- 正しくないパスワードの入力後に、ユーザーがリダイレクトのループに入る

- 認証の成功時に2つのユーザー・セッションが作成される

- パスワードを忘れた場合のフローが、シングル・ログイン・ページのデプロイメントで使用できない

- Access ManagerとOAAMの統合後、OAAMのテスト・ログインURLが失敗する

表示される可能性のあるエラー・メッセージの詳細は、この項およびOracle Fusion Middlewareエラー・メッセージ・リファレンスを参照してください。

その他のリソースのトラブルシューティングについては、第1.7項「My Oracle Supportを使用したその他のトラブルシューティング情報」を参照してください。

9.10.1 ユーザーが機能しないURLに遭遇する

機能しないURLに遭遇します。たとえば、「パスワードを忘れた場合」リンクをクリックしてもログイン・ページにリダイレクトされます。

原因

Oracle Adaptive Access Manager環境でポリシーとチャレンジ質問が正常に使用できません。

解決策

Oracle Adaptive Access Managerに付属のデフォルトのベース・ポリシーとチャレンジ質問がシステムにインポートされていることを確認します。詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のOracle Adaptive Access Manager環境の設定に関する項を参照してください。

9.10.2 正しくないパスワードの入力後に、ユーザーがリダイレクトのループに入る

正しくないパスワードを入力すると、ユーザーはリダイレクトのループに入ります。

原因

ログイン・ページの値が正しくありません。

解決策

ユーザーが正しくないパスワードを入力したときにリダイレクト・ループが発生した場合は、「OAAMプロパティ」ページでoaam.uio.login.pageプロパティが適切に設定されていることを確認してください。oaam.uio.login.pageプロパティの値は、/oaamLoginPage.jspに設定される必要があります。Oracle Adaptive Access Managerでのプロパティ設定の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のプロパティ・エディタの使用に関する項を参照してください。

9.10.3 認証の成功時に2つのユーザー・セッションが作成される

ユーザーがOAAMからログインし、Access Managerにより正常に認証されると、Access Managerは2つの同時セッションを作成します。

原因

OAM、OAAMおよびOIMの統合環境では、どのような認証でもOracle Access Management Access Managerで2つのユーザー・セッションが作成されます(Oracle Access Managementコンソールの「セッション管理」の下のOAM_SESSIONS表内のMDSに表示されます)。

1つのセッションはIAMSuiteAgentによって、もう1つのセッションはWebゲートによって作成されます。

解決策

プロパティoaam.uio.oam.authenticate.withoutsessionの値をチェックします。

9.10.4 パスワードを忘れた場合のフローが、シングル・ログイン・ページのデプロイメントで使用できない

パスワードを忘れた場合のフローは、シングル・ログイン・ページのデプロイメントでは使用できません。

9.10.5 Access ManagerとOAAMの統合後、OAAMのテスト・ログインURLが失敗する

テスト・ログインURL /oaam_serverは、Access Managerの統合に進む前に、OAAM構成が動作していることを検証するため使用されます。このURLは、Access ManagerとOAAMの統合後の使用を意図したものではありません。

第III部

外部SSOソリューション

フェデレーション・パートナをOracle IdM環境に統合できます。

この部の内容は次のとおりです。

- 第10章「Identity Federationとの統合」

10 Identity Federationとの統合

この章では、Oracle Access Management Access Managerがアイデンティティ・フェデレーションを使用してフェデレーション・パートナとの認証済セッションを作成する方法について説明します。

この章では、次の内容を説明します。

- 第10.1項「背景および統合の概要」

- 第10.2項「Access Manager 11gR2との統合」

10.1 背景および統合の概要

この項では、Access Managerとのフェデレーションに関する背景について説明します。内容は次のとおりです。

- Oracle Access Management Identity Federationについて

- Identity Federationのデプロイメント・オプション

- 参照

10.1.1 Oracle Access Management Identity Federationについて

アイデンティティ・フェデレーションは次の2つのアーキテクチャで使用可能です。

- Oracle Access Management Identity Federationとして知られ、Oracle Access Managementに組み込まれるフェデレーション・エンジンとして(11gリリース2 (11.1.2))。

- Oracle Identity Federationとして知られ、複数ドメインからなるアイデンティティ・ネットワークでのシングル・サインオンおよび認証を可能にする、スタンドアロンの自己完結型フェデレーション・サーバーとして(11gリリース1 (11.1.1))。
Oracle Identity Federationに付属のSP統合エンジンは、サーバーからのリクエストを処理してIdentity and Access Management (IAM)サーバーでユーザー用の認証済セッションを作成するサーブレットで構成されています。このエンジンには、Access Manager(旧Oracle Access Manager)などの異なるIAMサーバーとの相互作用を可能にする複数の内部プラグインが含まれています。

10.1.2 Identity Federationのデプロイメント・オプション

関連項目:

Oracle Access Managementでのネーミング規則および名前の変更の詳細は、『Oracle Fusion Middleware Oracle Access Management管理者ガイド』のOracle Access Managementの概要に関する項を参照してください。

Access Managerとのアイデンティティ・フェデレーションを使用して認証済ユーザー・セッションを作成するための様々なデプロイメント・オプションを使用できます。

Oracle Fusion Middleware frameworkでは、クロス・ドメイン・シングル・サインオンを実現するため次のような統合された手法をサポートしています。

- Access Managerサーバーに組み込まれたOracle Access Management Identity Federationエンジン。すべての構成がAccess Managerで実行されます。
この方法は、11gリリース2 (11.1.2.1.0)で利用可能です。この初期リリースでは、Identity Federationはサービス・プロバイダ・モードのみに制限されています。アイデンティティ・プロバイダ・モードではOracle Identity Federation 11gR1のインストールが必要です。

- フェデレーション機能を提供するために統合可能なOracle Identity FederationとOAMの個別のサーバー。この統合では、両方のサーバーを管理および構成する必要があります。
この方法は、11gリリース1 (11.1.1)で利用可能です。

この方法において、Oracle Identity FederationではOracle Access Managerの2つのデプロイメント・シナリオを用意しています。

- Oracle Access Manager 10gと統合されたOracle Identity Federation 11gリリース1 (11.1.1)。

- Access Manager 11gと統合されたOracle Identity Federation 11gリリース1 (11.1.1)。

表10-1に、アイデンティティ・フェデレーション製品をOracle Access Management Access Managerと統合する際に使用できるオプションをまとめ、デプロイメント手順へのリンクを示します。

表10-1 Oracle Access Managerを含むデプロイメント・オプション

Access Managerバージョン

説明

属性情報

Oracle Access Management Access Manager 11gR2

Access Managerには、Access Manager管理コンソールから構成可能なSPモード機能を提供する組込みのフェデレーション・エンジンが含まれています。

IdP機能を実現するには、Access ManagerをOracle Identity Federation 11gリリース1と統合します。

『Oracle Fusion Middleware Oracle Access Management管理者ガイド』のOracle Access Suiteコンソール内のフェデレーションの概要に関する項。

第10.2項

Access Manager 11gR1

スタンドアロンのOracle Identity Federation 11gリリース1サーバーは、Access Manager 11g OAMサーバーと統合します。

『Oracle Fusion Middleware Oracle Access Manager統合ガイド』のOracle Identity Federationの統合に関する項

Oracle Access Manager 10g

スタンドアロンのOracle Identity Federation 11gリリース1サーバーは、Oracle Access Manager 10gサーバーと統合します。

『Oracle Fusion Middleware Administrator's Guide for Oracle Identity Federation』

10.1.3 参照

『Oracle Fusion Middleware Oracle Identity Federation管理者ガイド』

10.2 Access Manager 11gR2との統合

この項では、Access Manager 11gリリース2 (11.1.2.1.0)とOracle Identity Federation 11gリリース1 (11.1.1) (Oracle Identity Federation 11gR1の付随したAccess Manager 11gR2)との統合方法について説明します。

- アーキテクチャ

- 統合タスクの概要

- 前提条件

- 追加の設定

- Access ManagerへのOracle HTTP Serverの登録

- Oracle Identity Federationの構成

- Access Managerの構成

- OIFSchemeによるリソースの保護

- 構成のテスト

10.2.1 アーキテクチャ

この章では、2つの統合モードについて説明します。

- SPモード
このモードでは、Oracle Identity FederationによりフェデレーションSSOを介してユーザーを認証して認証状態をAccess Managerに伝播し、そこでセッション情報を維持します。

- 認証モード
このモードでは、Access ManagerがOracle Identity Federationのかわりにユーザーを認証できます。

図10-1に、各モードでの処理フローを示します。

図10-1 Identity Federationの付随したAccess Manager

SPモードでは、Oracle Identity Federationは、フェデレーション・プロトコルを使用してユーザーを識別し、Access Managerで認証済セッションを作成するようAccess Managerにリクエストします。

認証モードでは、Oracle Identity Federationは、Oracle Identity Federationリソースを保護するWebゲート・エージェントを使用して認証をAccess Managerに委任します。ユーザーが認証されると、Webゲートは、HTTPヘッダーによりユーザーのアイデンティティをアサートします。Oracle Identity Federationはこのヘッダーを読み取り、ユーザーを識別します。

10.2.2 統合タスクの概要

Access ManagerとOracle Identity Federationの統合には、次のタスクが必要です。

- Oracle WebLogic ServerおよびIdentity Management (IdM)コンポーネントなどの必要なコンポーネントがインストールされて稼働していることを確認します。詳細は、第10.2.4項を参照してください。

- リソースを保護するため、Oracle HTTP ServerをパートナとしてAccess Managerに登録します。詳細は、第10.2.5項を参照してください。

- サービス・プロバイダ(SP)またはアイデンティティ・プロバイダ(IdP)あるいはその両方としてAccess Managerとともに機能するように、Oracle Identity Federationサーバーを構成します。詳細は、第10.2.6項を参照してください。

- Oracle Identity Federationに認証を委任するように、またはOracle Identity Federationのかわりにユーザーを認証するように、Access Managerを構成します。詳細は、第10.2.7項を参照してください。

10.2.3 前提条件

統合タスクを実行する前に、次のコンポーネントをインストールする必要があります。

- Oracle WebLogic Server

- Oracle HTTP Server 11g

- Oracle Access Manager 11g

- Oracle Identity Federation 11g

- Webゲート(認証モードで必要)

注意:

プラットフォームおよびバージョンの詳細は、Certification Matrixを参照してください。

関連項目:

Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド

10.2.4 追加の設定

Oracle WebLogic Server

管理サーバーと管理対象サーバーが起動しており、稼働中であることを確認します。

Oracle HTTP Server

テスト目的のため、保護するリソースを特定または作成します(たとえば、テスト・リソースとして扱うindex.htmlファイルを作成します)。

Oracle Identity Federation

次の形式のURLを使用して、Oracle Identity FederationサーバーのFusion Middleware Controlコンソールにアクセスします。

http://oif_host:oif_em_port/em

すべてのサーバーが実行されていることを確認します。

10.2.5 Access ManagerへのOracle HTTP Serverの登録

この項では、選択した保護メカニズムに応じて、Oracle HTTP Serverと11g WebゲートをOracle Access Managerに登録する方法について説明します。

認証のため、Oracle HTTP ServerとAccess Manager 11g WebゲートをAccess Managerに登録するには、次の手順に従います。

注意:

この手順において、MW_HOMEはOracle Fusion Middlewareホーム・ディレクトリを表します。

1. 次のディレクトリにあるOAM11GRequest.xmlファイルまたはOAM11GRequest_short.xmlファイルを見つけます。

MW_HOME/Oracle_IDM1/oam/server/rreg/input

2. ファイルに必要な変更を加えます。

3. 次のディレクトリにあるoamreg.shスクリプトを見つけます。

MW_HOME/Oracle_IDM1/oam/server/rreg/bin

4. 次のコマンド文字列を使用してスクリプトを実行します。

注意:

ユーザーはweblogicであり、パスワードを指定する必要があります。

./oamreg.sh inband input/OAM11GRequest.xml

または

./oamreg.sh inband input/OAM11GRequest_short.xml

5. Access Managerコンソールを使用して、認証用のAccess Managerで保護するOracle Identity Federation URLを表すリソースを作成します。このURLには、Oracle Identity Federationサーバーのホスト名とポート、およびリソースへのパス(モードによって異なります)が含まれます。

https://oif-host:oif-port/fed/user/authnoam11g

6. 認証ポリシーおよび認可ポリシーにより、このリソースを保護します。

7. Oracle HTTP Serverを再起動します。

Oracle_WT1/instances/instance1/bin/opmnctl restartproc process-type=OHS

10.2.6 Oracle Identity Federationの構成

この項では、Access Managerと統合するようにOracle Identity Federationを構成する方法について説明します。

- SPモード。このモードでは、Access ManagerがフェデレーションSSO用のOracle Identity Federationに認証を委任します。

- 認証モード。このモードでは、Oracle Identity FederationがAccess Managerに認証を委任します。

この項は次のトピックで構成されています。

- ユーザー・データ・ストアの検証

- Oracle Identity Federation認証エンジンの構成

- Oracle Identity Federation SP統合モジュールの構成

10.2.6.1 ユーザー・データ・ストアの検証

Oracle Identity FederationとAccess Managerは、同じLDAPディレクトリを使用する必要があります。

- 使用するLDAPディレクトリは、Access Managerでデフォルトのアイデンティティ・ストアとして定義する必要があります。

- Oracle Identity Federationユーザー・データ・ストアは、使用するLDAPディレクトリを参照する必要があります。

データ・ストア構成を検証するには、次の手順を実行します。

1. Fusion Middleware ControlでOracle Identity Federationインスタンスを見つけます。

2. 「管理」→「データ・ストア」の順にナビゲートします。

3. ユーザー・データ・ストアがデフォルトのAccess Managerアイデンティティ・ストアと同じディレクトリを指していることを確認します。

10.2.6.2 Oracle Identity Federation認証エンジンの構成

Oracle Identity Federation認証エンジンを構成してWebゲート11gエージェントにより提供される情報を取得するには、次の手順を実行します。

1. Fusion Middleware ControlでOracle Identity Federationインスタンスを見つけます。

2. 「管理」→「認証エンジン」にナビゲートします。

3. Oracle Access Manager 11g認証エンジンを有効化します。

4. 「エージェント・タイプ」として「WebGate 11g」を選択します。

5. 「ユーザーの一意IDヘッダー」としてOAM_REMOTE_USERを入力します。

6. 「デフォルトの認証エンジン」ドロップダウン・リストで、「Oracle Access Manager 11g」を選択します。

7. 構成からログアウトします。

- SPモードでもOracle Identity FederationをAccess Managerと統合する場合は、Access Manager 11gとのログアウト統合がOAM11g SPエンジンで実行されるため、ログアウトを無効にします。

- SPモードでOracle IdentityをAccess Managerと統合しない場合:

- ログアウトを有効にします。

- URLとして次を入力します。

http://oam_host:oam_port/oam/server/logout

8. 「適用」をクリックします。

10.2.6.3 Oracle Identity Federation SP統合モジュールの構成

この項では、Oracle Identity Federationがアサーション・トークンを送信してセッション管理をOracle Access Managerに転送できるように、Access Manager用にSPモードでOracle Identity Federationを構成するために実行する必要のある手順をリストします。

必要な手順は次のとおりです。

1. Fusion Middleware ControlでOracle Identity Federationインスタンスを見つけます。

2. 「管理」→「サービス・プロバイダ統合モジュール」の順にナビゲートします。

3. 「Oracle Access Manager 11g」タブを選択します。

4. ページを次のように構成します。

- 「SPモジュールの有効化」ボックスを選択します。

- 「デフォルトSP統合モジュール」ドロップダウンで、「Oracle Access Manager 11g」を選択します。

- 「ログアウト有効」ボックスを選択します。

- 次のURLを構成します。

Login URL :  http://oam_host:oam_port/oam/server/dap/cred_submit
Logout URL:  http://oam_host:oam_port/oam/server/logout

ここで、oam_hostおよびoam_portは、それぞれAccess Managerサーバーのホストおよびポート番号です。

- Access Managerのユーザー名属性に対応させるため、「ユーザー名属性」の値をcnに設定します。

- 「適用」をクリックします。

5. 「再生成」をクリックします。
この操作により、Access ManagerサーバーとOracle Identity Federationサーバーとの間で交換されるトークンの暗号化と復号化のための鍵を含むキーストア・ファイルが生成されます。「別名保存」ダイアログを使用してキーストア・ファイルを保存することを忘れないでください。

キーストア・ファイルをAccess Managerのインストール・ディレクトリ内の場所にコピーします。

注意: 後で参照する必要があるため、この場所をメモしてください。

10.2.7 Access Managerの構成

この項では、Oracle Identity Federationと統合するようにAccess Managerを構成する方法について説明します。

- SPモード。このモードでは、Access ManagerがフェデレーションSSO用のOracle Identity Federationに認証を委任します。

- 認証モード。このモードでは、Oracle Identity FederationがAccess Managerに認証を委任します。

この項は次のトピックで構成されています。

- OIFSchemeの構成

- 信頼できるAccess ManagerパートナとしてのOracle Identity Federationの登録

10.2.7.1 OIFSchemeの構成

このタスクでは、OIFSchemeを使用してフェデレーションSSOによりリソースを保護する際に、認証のためユーザーをOracle Identity Federationにリダイレクトするよう、Access Managerを構成します。必要な手順は次のとおりです。

1. Access Manager管理コンソールにログインします。

2. 「ポリシー構成」タブを選択します。

3. 「OIFScheme」を選択して開きます。

4. 「チャレンジURL」フィールドで、OIFHostおよびportの値を変更します。

5. 「コンテキスト・タイプ」ドロップダウンの値がexternalに設定されていることを確認します。

6. 「適用」をクリックして変更を保存します。

10.2.7.2 信頼できるAccess ManagerパートナとしてのOracle Identity Federationの登録

Oracle Identity FederationがSPモードのみ、または認証モードとSPモードで使用される場合は、第10.2.7.2.1項を参照してください。

Oracle Identity Federationが認証モードのみで使用される場合は、第10.2.7.2.2項を参照してください。

10.2.7.2.1 SPモードで使用するためのOracle Identity Federationの登録

Access Managerサーバーがインストールされているミドルウェア・ホーム内のディレクトリにキーストア・ファイルをコピーします。

WLSTコマンドを使用して、oam-config.xml構成ファイル内のOIFDAPパートナ・ブロックを更新します。手順と構文は次のとおりです。

1. 次のコマンドを実行して、シェル環境に入ります。

$DOMAIN_HOME/common/bin/wlst.sh

2. 次のコマンド構文により、Access Manager管理サーバーに接続します。

connect('weblogic','password','host:port')

3. 次のコマンドを実行して、構成ファイル内のパートナ・ブロックを更新します。

registerOIFDAPPartner(keystoreLocation=location of keystore file, logoutURL=logoutURL)

ここで、logoutURLは、Access Managerサーバーがユーザーをログアウトさせるときに起動する、Oracle Identity FederationのログアウトURLです。

次に例を示します。

registerOIFDAPPartner(keystoreLocation="/home/pjones/keystore", logoutURL="http://abcdef0123.in.mycorp.com:1200/fed/user/spslooam11g?doneURL=http://abc1234567.in.mycorp.com:6001/oam/pages/logout.jsp")

10.2.7.2.2 認証モードで使用するためのOracle Identity Federationの登録

WLSTコマンドを使用して、oam-config.xml構成ファイル内のOIFDAPパートナ・ブロックを更新します。手順と構文は次のとおりです。

1. 次のコマンドを実行して、シェル環境に入ります。

$DOMAIN_HOME/common/bin/wlst.sh

2. 次のコマンド構文により、Access Manager管理サーバーに接続します。

connect('weblogic','password','host:port')

3. 次のコマンドを実行して、構成ファイル内のパートナ・ブロックを更新します。

registerOIFDAPPartnerIDPMode(logoutURL=logoutURL)

ここで、logoutURLは、Access Managerサーバーがユーザーをログアウトさせるときに起動する、Oracle Identity FederationのログアウトURLです。

次に例を示します。

registerOIFDAPPartnerIDPMode(logoutURL="http://abcdef0123.in.mycorp.com:1200/fed/user/authnslooam11g?doneURL=http://abc1234567.in.mycorp.com:6001/oam/pages/logout.jsp")

10.2.8 OIFSchemeによるリソースの保護

SPモードでAccess ManagerとOracle Identity Federationを統合すると、OIFSchemeによりリソースを保護できるようになります。OIFSchemeは、認証されていないユーザーがそのスキームで保護されているリソースにアクセスすると、フェデレーションSSO操作をトリガーします。

「ポリシー構成」タブの「アプリケーション・ドメイン」で、OIFSchemeを使用して認証ポリシーを定義し、その認証ポリシーでリソースを保護します。

10.2.9 構成のテスト

最後の構成タスクでは、統合が正しく構成されているかどうかをテストします。この手順は、認証モードとSPモードとの間で異なります。

- SPモード構成のテスト

- 認証モード構成のテスト

10.2.9.1 SPモード構成のテスト

次の手順に従って、SPモードで構成が正しいかどうかをテストします。

1. Oracle Identity Federationとリモートのアイデンティティ・プロバイダ間のフェデレーテッド信頼を確立します。

2. そのアイデンティティ・プロバイダをデフォルトのSSOアイデンティティ・プロバイダとして設定します。

3. 保護されたリソースにアクセスしてみます。

4. 正しく設定されている場合は、認証のため、IdPにリダイレクトされます。このページでユーザー資格証明が必要であることを確認します。

5. ログイン・ページで有効な資格証明を入力します。

注意:

ユーザーは、IdPセキュリティ・ドメインとOracle Identity Federation/Access Managerセキュリティ・ドメインの両方に存在する必要があります。

6. 保護されたページにリダイレクトされたことを確認します。

7. 次のCookieが作成されたことを確認します。

- OAM_ID

- ORA_OSFS_SESSION

- OHS Cookie

10.2.9.2 認証モード構成のテスト

次の手順に従って、認証モードで構成が正しいかどうかをテストします。

1. Oracle Identity Federationとリモートのサービス・プロバイダ間のフェデレーテッド信頼を確立します。

2. サービス・プロバイダからフェデレーションSSOを開始します。

3. IdPでAccess Managerログイン・ページにリダイレクトされることを確認します。このページでは、ユーザー資格証明がリクエストされます。

4. 関連する資格証明を入力し、ページを処理します。

5. サービス・プロバイダ・ドメインにリダイレクトされることを確認します。

第IV部

監視

Oracle Identity Navigatorを使用してOracle IdM環境を監視できます。

この部の内容は次のとおりです。

- 第11章「Oracle Identity Navigatorとの統合」

11 Oracle Identity Navigatorとの統合

この章では、Oracle Access Management Access Manager (Access Manager)をOracle Identity Navigatorと統合する方法について説明します。この統合シナリオにより、Webゲート・エージェントを使用してOracle Identity NavigatorをAccess Managerで保護できます。この章の手順では、Oracle Internet Directoryがアイデンティティ・ストアとして構成されていることを前提としています。他のコンポーネント構成も可能です。サポートされている構成の詳細は、Oracle Technology Networkにあるシステム要件と動作保証情報のドキュメントを参照してください。

注意:

これは、URLを保護するために使用されるAccess Managerの特定の例です。記述されている内容はこのタイプの構成に一般的な方法ですが、ここで使用されているものと完全に同じ手順およびコンポーネントを使用しなくてもかまいません。たとえば、Oracle Internet Directoryは、Access Manager 11gに対して動作保証されているいくつかのアイデンティティ・ストアの1つです。

注意:

リリース11.1.1.5.0以降では、Oracle Identity Navigatorはドメイン・エージェントによってそのまますぐに保護されます。以前のリリースでは、これとは異なり、URLを保護するために手動構成が必要でした。

この章の内容は次のとおりです。

- 第11.1項「シングル・サインオンの有効化」

11.1 シングル・サインオンの有効化

Access Managerでは、任意のAccess Manager認証スキームをチャレンジ・メソッドとして使用して、Oracle Identity Navigator管理コンソールのSSOを有効化できます。

前提条件を次に示します。

- Oracle HTTP Serverがインストールされています。
Oracle HTTP Serverのインストール時に、「Oracle Webcache」および「選択されたコンポーネントとWebLogicドメインの関連付け」の選択を解除します。

- Access Manager 11gが適切にインストールされ、構成されています。

- Oracle HTTP Server 11gがOracle Identity NavigatorのフロントエンドのプロキシWebサーバーとしてインストールされ、構成されています。

- Oracle HTTP Server 11g用のAccess Manager 11g WebゲートがOracle HTTP Server 11g上にインストールされています。

関連項目:

リストされているコンポーネントのインストールの詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』を参照してください。

SSO有効化の大まかな手順は次のとおりです。

- Oracle Access Management管理コンソールを使用して、Oracle Identity NavigatorのURLを保護するエージェント用に新しいリソースを構成します。詳細は、「エージェント用の新しいリソースの構成」を参照してください。

- 構成済のリソースおよびポリシーを持つAccess Managerドメインを指すように、Oracle HTTP Serverを構成します。詳細は、「Access Managerドメイン用のOracle HTTP Serverの構成」を参照してください。

- Oracle WebLogic Server管理コンソールを使用して、2つの新しいアイデンティティ・プロバイダ、つまりOAMIdentityAsserterおよびOIDAuthenticatorを追加します。詳細は、「新しいアイデンティティ・プロバイダの追加」を参照してください。

- Oracle Directory Services Manager (ODSM)を使用して、ログイン・ユーザーに管理者権限を付与します。詳細は、「新しいアイデンティティ・プロバイダの追加」を参照してください。

- WLSTコマンドを使用して、ブラウザ・セッションで複数のタブを使用する複数のアプリケーションに対するアクセスを有効にします。詳細は、「複数のアプリケーションに対するアクセスの構成」を参照してください。

11.1.1 エージェント用の新しいリソースの構成

Oracle Access Management管理コンソールで、次の手順を実行します。

1. 「ポリシー構成」タブを選択します。

2. 「アプリケーション・ドメイン」で、Oracle Identity NavigatorのURLを保護するエージェントを選択します(たとえば、-OIMDomain)。

3. 「リソース」を選択し、作成アイコンをクリックして新しいリソースを追加します。タイプ、ホスト識別子および値(/oinav/…/*)を入力し、「適用」ボタンをクリックします。

4. 保護付きポリシー、または認証スキーマがLDAPスキーマであるポリシーを選択します。リソース表で「追加」アイコンをクリックし、ドロップダウン・リストからOracle Identity NavigatorのURL (/oinav/…/*)を選択します。

5. 認可ポリシーについて、手順を繰り返します。

11.1.2 Access Managerドメイン用のOracle HTTP Serverの構成

Oracle HTTP Serverが、Oracle Identity NavigatorがインストールされているOracle WebLogic Serverコンテナのフロントエンドとなるように、次の手順を実行します。

1. Oracle HTTP Serverサーバーのconfigディレクトリ(たとえば、/scratch/mydir1/oracle/product/11.1.1/as_1/instances/instance1/config/OHS/ohs1)にナビゲートし、mod_wl_ohs.confファイルを見つけます。

2. <IfModule mod_weblogic.c>ブロックで、保護するOracle Identity Navigator URLのホストおよびポート番号を追加します。次に例を示します。

MatchExpression /oinav* WebLogicHost=host WebLogicPort=port

3. Oracle HTTP Serverインストールのbinディレクトリ(たとえば、/scratch/mydir1/oracle/product/11.1.1/as_1/instances/instance1/bin)で、次のコマンドを実行することによってOracle HTTP Serverサーバーを再起動します。

-./opmnctl restartproc ias=component=ohs1

11.1.3 新しいアイデンティティ・プロバイダの追加

次の手順を実行し、2つの新しいアイデンティティ・プロバイダを追加し、ログイン・ユーザーに管理者権限を付与します。

1. Oracle WebLogic Server管理コンソールを使用して、「セキュリティ・レルム」→「myreleam」→「プロバイダ」にナビゲートします。

2. OAMIdentityAsserterとOIDAuthenticatorの2つのプロバイダを追加します。

3. OAMIdentityAsserterの「制御フラグ」をRequiredに設定します。

4. OIDAuthenticatorで次の設定を更新します。

- 「制御フラグ」をSufficientに設定します。

- 「プロバイダ固有」タブを選択し、必要な変更を加えてOracle Internet Directoryサーバーのホスト、ポートおよびその他の資格証明を指定します。OID Authenticatorで正しいLDAP設定を構成します。

LDAPのユーザーおよびグループがコンソールに反映されます。

5. Oracle Directory Services Manager (ODSM)を使用して、ログイン・ユーザーに管理者権限を付与します。

1. Access Managerに関連付けられたLDAPサーバー内にユーザーを作成します(たとえば、uid=testuser,cn=users,dc=us,dc=oracle,dc=com)。

2. LDAPディレクトリ内に管理者グループを作成します(つまり、cn=Administrators,cn=groups,dc=us,dc=oracle,dc=com)。

3. ユーザーtestuserを管理者グループに追加することによって、このユーザーに管理者ロールを割り当てます。

4. これで、このユーザーによるOracle Identity NavigatorへのSSOをテストできるようになりました。

6. 次のようにプロバイダの順番を変更します。

1. OAMIdentityAsserter

2. オーセンティケータ

3. デフォルト・オーセンティケータ

4. デフォルトIDアサーション・プロバイダ

7. Oracle WebLogic Serverを再起動します。

8. Oracle HTTP Serverインストールのホストおよびポートを含む、保護されたOracle Identity Navigator URLを入力します。

http://OHSHost:OHSPort/oinav/faces/idmNag.jspx

11.1.4 複数のアプリケーションに対するアクセスの構成

SSO保護が11g OAMサーバーによって提供される場合、次の手順が適用されます。次の手順を実行して、FORMキャッシュ・モードに変更することで、単一のブラウザ・セッションで複数のタブを使用するアプリケーションに対するアクセスを構成します。

1. Access Manager管理対象サーバーを停止します。

2. 次のオンラインAccess Manager WLSTコマンドを実行します。

configRequestCacheType(type='FORM')

3. Access Manager管理対象サーバーを再起動します。

第V部

アイデンティティ・ストアの追加構成

この部では、アイデンティティ・ストアの追加構成に関するトピックについて説明します。

この部の内容は次のとおりです。

- 第12章「複数ディレクトリのアイデンティティ・ストアの構成」

12 複数ディレクトリのアイデンティティ・ストアの構成

この章では、Oracle Internet Directory以外のディレクトリをアイデンティティ・ストアとして使用するために準備する方法を説明します。

この章には次のトピックが含まれます:

- 第12.1項「アイデンティティ・ストアとしての複数ディレクトリの構成の概要」

- 第12.2項「アイデンティティ・ストアとしての複数ディレクトリの構成: 分割プロファイル」

- 第12.3項「アイデンティティ・ストアとしての複数ディレクトリの構成: 複数ディレクトリに別個のユーザーおよびグループを格納」

- 第12.4項「追加の構成タスク」

12.1 アイデンティティ・ストアとしての複数ディレクトリの構成の概要

この章では、2つの複数ディレクトリ・シナリオ用にOracle Virtual Directoryを構成する方法について説明します。どちらのシナリオでも、一部のユーザー・データはActive Directoryなどのサード・パーティ・ディレクトリに存在し、その他のユーザー・データはOracle Internet Directoryに存在します。

どちらのシナリオでも、Oracle Virtual Directoryを使用して、Oracle Identity Managementの各コンポーネントが解釈できる単一の統合ビューにすべてのアイデンティティ・データを提供します。

これらのシナリオは次のとおりです。

- 分割プロファイル: 分割プロファイルまたは分割ディレクトリ構成は、アイデンティティ・データを複数のディレクトリ(場合によっては別々の場所にある)に格納する構成です。分割プロファイルは、特定のスキーマ要素をサポートするためにディレクトリ・スキーマを拡張する必要があるが、サード・パーティのアイデンティティ・ストアでスキーマを拡張できない、または拡張したくない場合に使用します。この場合、Oracle Internet Directoryを拡張属性を格納するシャドウ・ディレクトリとしてデプロイします。詳細は、第12.3項「アイデンティティ・ストアとしての複数ディレクトリの構成: 複数ディレクトリに別個のユーザーおよびグループを格納」を参照してください。(一方、スキーマを拡張できる場合は、第7.4.1項「Access Manager用のディレクトリ・スキーマの拡張」で説明している方法を使用してください。)

- 別個のユーザーおよびグループの格納: もう1つのマルチディレクトリ・シナリオは、内部ユーザーと外部ユーザーなど、別個のユーザーおよびグループを格納するものです。この構成では、Oracle固有のエントリおよび属性がOracle Internet Directoryに格納されます。Fusion Applications固有の属性を持つエントリなど、エンタープライズ固有のエントリは、Active Directoryに格納されます。詳細は、第12.3項「アイデンティティ・ストアとしての複数ディレクトリの構成: 複数ディレクトリに別個のユーザーおよびグループを格納」を参照してください。

この章では、Oracle Internet Directory以外のエンタープライズ・ディレクトリとしてActive Directoryが選択されています。このソリューションは、エンタープライズ・アイデンティティ・ストアとして1つ以上のActive Directoryを持つすべてのエンタープライズに適用できます。

12.2 アイデンティティ・ストアとしての複数ディレクトリの構成: 分割プロファイル

この項では、アイデンティティ・ストアとして複数のディレクトリを構成する方法を説明します。Active Directoryスキーマが拡張できない場合は、Oracle Internet Directoryをシャドウ・ディレクトリとして使用し、これらの属性を格納します。Oracle Virtual Directoryは、これらを一緒にリンクして、単一の統合DITビューをクライアントに提示します。これは、分割プロファイルまたは分割ディレクトリ構成と呼ばれます。この構成では、Oracle固有の属性とOracle固有のエンティティがすべて、Oracle Internet Directoryに作成されます。

この項は、次の項目を含んでいます。

- 第12.2.1項「前提条件」

- 第12.2.2項「リポジトリの説明」

- 第12.2.3項「Oracle Internet Directoryのシャドウ・ディレクトリとしての設定」

- 第12.2.4項「ディレクトリ構造の概要-シャドウ結合」

- 第12.2.5項「分割プロファイルのOracle Virtual Directoryアダプタの構成」

- 第12.2.6項「グローバル統合変更ログ・プラグインの構成」

- 第12.2.7項「Oracle Virtual Directory変更ログの検証」

12.2.1 前提条件

このデプロイメント・トポロジには、次の前提と規則が適用されます。

- Oracle Internet Directoryは、Fusionアイデンティティ・ストアを格納します。これは、Oracle Internet DirectoryがFusion Application固有のすべてのアーティファクトのストアであることを意味します。アーティファクトには、Fusion Applicationで使用されるエンタープライズ・ロール・セットやFusion Applicationで要求される一部のユーザー属性が含まれます。その他のストアはすべて、エンタープライズ・アイデンティティ・ストアと呼ばれます。

- エンタープライズは複数のLDAPディレクトリを含んでいます。それぞれのディレクトリに、別個のユーザーおよびロールのセットが格納されています。

- エンタープライズ・ポリシーは、Fusion Application固有の属性など、特定のユーザー属性がエンタープライズ・ディレクトリに格納できないことを指定します。拡張属性はすべて、シャドウ・ディレクトリと呼ばれる別個のディレクトリに格納する必要があります。Active Directoryではスキーマを拡張できないので、このシャドウ・ディレクトリはOracle Internet Directoryであることが必要です。

- ユーザー・ログインIDは、ディレクトリ全体で一意です。これらのディレクトリ間で、ユーザー・ログインIDの重複はありません。

- Oracle Identity Managerは、細分化された認可を行いません。Oracle Identity Managerのマッピング・ルールで、ディレクトリの1つの特定サブツリーを使用することが許可されている場合は、LDAPディレクトリのそのサブツリー内でCRUD(作成、読取り、更新、削除)操作をすべて実行できます。Oracle Identity Managerに対してサブツリー内のユーザー・データの読取りを可能にし、サブツリー内のユーザーの作成または削除を不可にする方法はありません。

- Active Directoryディレクトリの1つに含まれるメンバーがOracle Internet Directoryグループに所属できるように、Oracle Internet Directoryでは参照整合性をオフにする必要があります。ユーザーのグループ・メンバーシップは、参照整合性のあるディレクトリ間では維持されません。

12.2.2 リポジトリの説明

この項では、アイデンティティ・ストアのアーティファクトについて説明し、様々なエンタープライズ・デプロイメントの要件に基づいてActive DirectoryとOracle Internet Directoryの間でアーティファクトを分散する方法を示します。

アイデンティティ・ストアに格納されるアーティファクトは、次のとおりです。

- アプリケーションID: これらは、相互に通信するアプリケーションを認証するために必要なアイデンティティです。

- シードされたエンタープライズ・ロール: これらは、デフォルトの機能に必要なエンタープライズ・ロールまたはLDAPグループ・エントリです。

- Oracle Identity Managerによってプロビジョニングされたエンタープライズ・ロール: これらは実行時ロールです。

- エンタープライズ・ユーザー: これらは、エンタープライズの実際のユーザーです。

- エンタープライズ・グループ: これらは、エンタープライズにすでに存在するロールおよびグループです。

分割プロファイル・デプロイメントでは、Active DirectoryとOracle Internet Directoryの間でアイデンティティ・ストアのアーティファクトを次のように分散できます。

- Oracle Internet Directoryは、エンタープライズ・ロールのリポジトリです。具体的には、Oracle Internet Directoryには次のものが格納されます。

- アプリケーションID

- シードされたエンタープライズ・ロール

- Oracle Identity Managerによってプロビジョニングされたエンタープライズ・ロール

- Active Directoryは次のもののリポジトリです。

- エンタープライズ・ユーザー

- エンタープライズ・グループ(Oracle Identity ManagerまたはFusion Applicationには認識されない)

次の制限が適用されます。

- Active DirectoryユーザーはOracle Internet Directoryグループのメンバーである必要があります。

- Active Directoryのグループはまったく公開されません。Oracleアプリケーションは、Oracleによって作成されたエンタープライズ・ロールのみを管理します。Active Directoryのグループは、Oracle Identity ManagerやFusion Applicationには認識されません。

12.2.3 Oracle Internet Directoryのシャドウ・ディレクトリとしての設定

Fusion Application固有の属性など特定の属性を格納するためのシャドウ・ディレクトリとしてOracle Internet Directoryを使用する場合は、シャドウ属性を格納するためにOracle Internet Directory内で別個のコンテナを使用します。

- シャドウ・エントリのコンテナ(cn=shadowentries)は、ユーザーおよびグループのコンテナdc=mycompany,dc=comの親とは別個のDITに格納されている必要があります(図12-1を参照)。

- Oracle Internet Directory内でdc=mycompany,dc=comに対して構成されているものと同じACLを、cn=shadowentriesに対しても構成する必要があります。この構成を実行するには、ldapmodifyコマンドを使用します。構文は、次のとおりです。

ldapmodify -D cn=orcladmin -q -p portNum -h hostname -f ldifFile

次に、ldapmodifyで使用するためのサンプルLDIFファイルを示します。

dn: cn=shadowentries
changetype: modify
add: orclaci
orclaci: access to entry by group="cn=RealmAdministrators,cn=groups,cn=OracleContext,dc=mycompany,dc=com" (browse,add,delete)
orclaci: access to attr=(*) by group="cn=RealmAdministrators,cn=groups,cn=OracleContext,dc=mycompany,dc=com" (read, write, search, compare)
orclaci: access to entry by group="cn=OIMAdministrators,cn=groups,dc=mycompany,dc=com" (browse,add,delete)
orclaci: access to attr = (*) by group="cn=OIMAdministrators,cn=groups,dc=mycompany,dc=com" (search,read,compare,write)
-
changetype: modify
add: orclentrylevelaci
orclentrylevelaci: access to entry by * (browse,noadd,nodelete)
orclentrylevelaci: access to attr=(*) by * (read,search,nowrite,nocompare)

- Oracle Internet Directoryをシャドウ・ディレクトリとして使用するディレクトリが複数ある場合は、ディレクトリごとに異なるシャドウ・コンテナを作成する必要があります。コンテナ名は、これがシャドウ・エントリとなる特定のディレクトリが一意に識別されるように選択できます。

12.2.4 ディレクトリ構造の概要-シャドウ結合

図12-1は、プライマリ・ディレクトリおよびシャドウ・ディレクトリのディレクトリ構造を示しています。コンテナcn=reservation、cn=appIDUsers、cn=FusionGroupsおよびcn=DataRoleGroupsは、Fusion Applicationに固有です。

図12-1 ディレクトリ構造

図12-2は、ユーザー・アプリケーションまたはクライアント・アプリケーションにDITがどのように現れるかを示しています。コンテナcn=appIDUsers、cn=FusionGroupsおよびcn=DataRoleGroupsは、Fusion Applicationに固有です。

図12-2 DITのクライアント・ビュー

図12-3に、アダプタとプラグインをまとめます。コンテナcn=appIDUsersおよびcn=FusionGroupsは、Fusion Applicationに固有です。

図12-3 アダプタおよびプラグインの構成

12.2.5 分割プロファイルのOracle Virtual Directoryアダプタの構成

図12-2に示したデータのクライアント側でのビューを作成するには、この項の手順に従って、Oracle Virtual Directory内で複数のアダプタを構成する必要があります。

idmConfigToolを使用すると、この構成を容易にするアダプタを作成できます。

関連項目:

Oracle Directory Services Managerを使用したアダプタの表示方法については、第A.1項「ODSMを使用した分割プロファイルのOracle Virtual Directoryアダプタの検証」を参照してください。

idmConfigToolを使用してアダプタを作成するには、IDMHOST1で次のタスクを実行します。

1. 環境変数MW_HOME、JAVA_HOME、IDM_HOMEおよびORACLE_HOMEを設定します。
IDM_HOMEをIDM_ORACLE_HOMEに設定します。

ORACLE_HOMEをIAM_ORACLE_HOMEに設定します。

2. 構成しているアダプタのプロパティ・ファイルsplitprofile.propsを、次の内容で作成します。

ovd.host:ldaphost1.mycompany.com
ovd.port:8899
ovd.binddn:cn=orcladmin
ovd.ssl:true
ldap1.type:AD
ldap1.host:adhost.mycompany.com
ldap1.port:636
ldap1.binddn:administrator@idmqa.com
ldap1.ssl:true
ldap1.base:dc=idmqa,dc=com
ldap1.ovd.base:dc=idmqa,dc=com
usecase.type:split
ldap2.type:OID
ldap2.host:ldaphost.mycompany.com
ldap2.port:3060
ldap2.binddn:cn=oimLDAP,cn=users,dc=mycompany,dc=com
ldap2.ssl:false
ldap2.base:dc=mycompany,dc=com
ldap2.ovd.base:dc=mycompany,dc=com

次のリストで、プロパティ・ファイルで使用されるパラメータについて説明します。

- ovd.hostは、Oracle Virtual Directoryを実行しているサーバーのホスト名です。

- ovd.portは、Oracle Virtual Directoryへのアクセスに使用するHTTPSポートです。

- ovd.binddnは、Oracle Virtual Directoryへの接続に使用するユーザーDNです。

- ovd.passwordは、Oracle Virtual Directoryへの接続に使用するDNのパスワードです。

- ovd.oamenabledは、Oracle Access Management Access Managerを使用している場合、trueに設定され、使用していない場合、falseに設定されます。
ovd.oamenabledは、Fusion Applicationデプロイメントでは常にtrueです。

- ovd.sslは、HTTPSポートを使用している場合、trueに設定されます。

- ldap1.typeは、Oracle Internet Directoryバックエンド・ディレクトリの場合はOIDに、Active Directoryバックエンド・ディレクトリの場合はADに設定されます。

- ldap1.hostは、Active Directoryホストです。ホストがいつでも使用可能なロード・バランサ名を使用します。

- ldap2.host:は、Oracle Internet Directoryホストです。ホストがいつでも使用可能なロード・バランサ名を使用します。

- ldap1.portは、バックエンド・ディレクトリとの通信に使用されるポートです。

- ldap1.binddnは、oimLDAPユーザーのバインドDNです。

- ldap1.passwordは、oimLDAPユーザーのパスワードです。

- ldap1.sslは、バックエンドのSSL接続を使用している場合、trueに設定され、使用していない場合、falseに設定されます。アダプタがAD用に作成されている場合、これは常にtrueに設定する必要があります。

- ldap1.baseは、ディレクトリ・ツリーのベースの場所です。

- ldap1.ovd.baseは、Oracle Virtual Directory内のマップされた場所です。

- usecase.typeは、単一ディレクトリ・タイプを使用している場合、Singleに設定されます。

3. 次の場所にあるidmConfigToolコマンドを使用してアダプタを構成します。
IAM_ORACLE_HOME/idmtools/bin

注意:

idmConfigToolを実行すると、idmDomainConfig.paramファイルが作成されるか、既存のこのファイルに情報が追加されます。このファイルは、idmConfigToolを実行したディレクトリに作成されます。このツールを実行するたびに同じファイルに情報が追加されるようにするには、必ず次のディレクトリでidmConfigToolを実行します。

IAM_ORACLE_HOME/idmtools/bin

Linuxの場合、このコマンドの構文は次のとおりです。

idmConfigTool -configOVD input_file=splitprofile.props

コマンドを実行する際に、アクセスする各ディレクトリに対するパスワードを求められます。

コマンドは、Oracle Virtual Directoryインスタンスごとに1回実行する必要があります。

12.2.6 グローバル統合変更ログ・プラグインの構成

すべての変更ログ・アダプタからの変更ログ・エントリを処理するために、グローバル・レベル統合変更ログ・プラグインをデプロイします。

1. Webブラウザで、Oracle Directory Services Manager (ODSM)にアクセスします。

2. Oracle Virtual Directoryインスタンスに接続します。

3. ホーム・ページで、「拡張」タブをクリックします。拡張ナビゲーション・ツリーが表示されます。

4. 「グローバル・プラグイン」を展開します。

5. 「プラグインの作成」ボタンをクリックします。「プラグイン」ダイアログ・ボックスが表示されます。

6. 「名前」フィールドにプラグインの名前を入力します。

7. リストからプラグイン・クラスConsolidatedChglogPluginを選択します。

8. 「OK」をクリックします。

9. 「適用」をクリックします。

12.2.7 Oracle Virtual Directory変更ログの検証

変更ログ・アダプタが機能していることを検証するには、次のコマンドを実行します。

$IDM_ORACLE_HOME/bin/ldapsearch -p 6501 -D cn=orcladmin -q -b 'cn=changelog' -s base 'objectclass=*' lastchangenumber

このコマンドは、次のような変更ログの結果を戻します。

Please enter bind password:
cn=Changelog
lastChangeNumber=changelog_OID:190048;changelog_AD1:363878

ldapsearchが変更ログの結果を戻さない場合は、変更ログ・アダプタの構成を再確認してください。

12.3 アイデンティティ・ストアとしての複数ディレクトリの構成: 複数ディレクトリに別個のユーザーおよびグループを格納

この構成では、Oracle固有エントリをOracle Internet Directoryに格納し、エンタープライズ固有エントリをActive Directoryに格納します。必要に応じて、『Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド』のOracle Access Management Access ManagerおよびOracle Identity Managerとともに使用するためのActive Directoryの構成に関する項の説明のとおり、Active Directoryスキーマを拡張してください。

注意:

使用されるOracle Internet Directoryは、ポリシー・ストアのOracle Internet Directoryであるとは限りません。理論的には、Active Directory以外のディレクトリを第2のディレクトリとして使用できます。便宜上、この項ではポリシー・ストアのOracle Internet Directoryについて言及します。

次のような条件であるとします。

- エンタープライズ・ディレクトリ・アイデンティティ・データが、1つ以上のディレクトリ内にあります。ユーザーおよびグループのアプリケーション固有の属性は、エンタープライズ・ディレクトリに格納されます。

- アプリケーション固有のエントリは、アプリケーション・ディレクトリに格納されます。AppIDおよびエンタープライズ・ロールは、アプリケーション・ディレクトリに格納されます。

この項は、次の項目を含んでいます。

- 第12.3.1項「複数ディレクトリに別個のユーザーおよびグループを格納するためのディレクトリ構造の概要」

- 第12.3.2項「複数ディレクトリに別個のユーザーおよびグループを格納するためのOracle Virtual Directoryアダプタの構成」

- 第12.3.3項「グローバル・プラグインの作成」

12.3.1 複数ディレクトリに別個のユーザーおよびグループを格納するためのディレクトリ構造の概要

図12-4は、ここで内部と外部としてリストされている2つのディレクトリのディレクトリ構造を示しています。コンテナcn=appIDUsers、cn=FusionGroupsおよびcn=RGX_FusionGroupsはFusion Applicationに固有です。

図12-4 ディレクトリ構造

Oracle Virtual Directoryでは、図12-5に示すように、複数のディレクトリがユーザーまたはクライアント・アプリケーションには単一のDITのように表示されます。コンテナcn=appIDUsers、cn=FusionGroupsおよびcn=RGX_FusionGroupsはFusion Applicationに固有です。

図12-5 DITのクライアント・ビュー

図12-6は、アダプタ構成の概要を示しています。クラスinetOrgPerson、orclIDXPersonおよびorclIDXGroupと、コンテナcn=appIDusersおよびcn=fusionGroupsは、Fusion Applicationに対してのみ必要です。

図12-6 構成の概要

12.3.2 複数ディレクトリに別個のユーザーおよびグループを格納するためのOracle Virtual Directoryアダプタの構成

以降の項で説明するとおり、LDAPHOST1とLDAPHOST2でそれぞれ実行されているOracle Virtual Directoryインスタンスでユーザー・アダプタを作成します。

12.3.2.1 エンタープライズ・ディレクトリ・アダプタの作成

エンタープライズ・ディレクトリ用のOracle Virtual Directoryアダプタを作成します。作成されるアダプタのタイプは、バックエンド・ディレクトリがOracle Internet Directoryに存在するのか、Active Directoryに存在するのかによって異なります。

idmconfgToolを使用すると、Oracle Internet DirectoryおよびActive Directory用のOracle Virtual Directoryユーザーおよび変更ログ・アダプタを作成できます。

関連項目:

Oracle Directory Services Managerを使用したアダプタの表示方法については、第A.2項「ODSMを使用した複数ディレクトリに別個のユーザーおよびグループを格納するためのアダプタの検証」を参照してください。

Oracle Identity Managerにはアダプタが必要です。Oracle Virtual Directoryを使用してOracle Internet Directoryに接続することを強くお薦めします。ただしこれは必須ではありません。

idmconfgToolを使用してアダプタを作成するには、IDMHOST1で次のタスクを実行します。

1. 環境変数MW_HOME、JAVA_HOME、IDM_HOMEおよびORACLE_HOMEを設定します。
IDM_HOMEをIDM_ORACLE_HOMEに設定します。

ORACLE_HOMEをIAM_ORACLE_HOMEに設定します。

2. 構成しているアダプタのプロパティ・ファイルovd1.propsを作成します。このファイルの内容は、Oracle Internet Directoryアダプタを構成しているのか、Active Directoryアダプタを構成しているのかによって異なります。

- Oracle Internet Directoryアダプタ・プロパティ・ファイル:

ovd.host:ldaphost1.mycompany.com
ovd.port:8899
ovd.binddn:cn=orcladmin
ovd.password:ovdpassword
ovd.oamenabled:true
ovd.ssl:true
ldap1.type:OID
ldap1.host:oididstore.mycompany.com
ldap1.port:3060
ldap1.binddn:cn=oimLDAP,cn=systemids,dc=mycompany,dc=com
ldap1.password:oidpassword
ldap1.ssl:false
ldap1.base:dc=mycompany,dc=com
ldap1.ovd.base:dc=mycompany,dc=com
usecase.type: single

- Active Directoryアダプタ・プロパティ・ファイル:

ovd.host:ldaphost1.mycompany.com
ovd.port:8899
ovd.binddn:cn=orcladmin
ovd.password:ovdpassword
ovd.oamenabled:true
ovd.ssl:true
ldap1.type:AD
ldap1.host:adidstore.mycompany.com
ldap1.port:636
ldap1.binddn:cn=adminuser
ldap1.password:adpassword
ldap1.ssl:true
ldap1.base:dc=mycompany,dc=com
ldap1.ovd.base:dc=mycompany,dc=com
usecase.type: single

次のリストに、プロパティ・ファイルで使用されるパラメータとそれらの説明を示します。

- ovd.hostは、Oracle Virtual Directoryを実行しているサーバーのホスト名です。

- ovd.portは、Oracle Virtual Directoryへのアクセスに使用するHTTPSポートです。

- ovd.binddnは、Oracle Virtual Directoryへの接続に使用するユーザーDNです。

- ovd.passwordは、Oracle Virtual Directoryへの接続に使用するDNのパスワードです。

- ovd.oamenabledは、Oracle Access Management Access Managerを使用している場合、trueに設定され、使用していない場合、falseに設定されます。
ovd.oamenabledは、Fusion Applicationデプロイメントでは常にtrueです。

- ovd.sslは、HTTPSポートを使用している場合、trueに設定されます。

- ldap1.typeは、Oracle Internet Directoryバックエンド・ディレクトリの場合はOIDに、Active Directoryバックエンド・ディレクトリの場合はADに設定されます。

- ldap1.hostはバックエンド・ディレクトリ・ホストです。

- ldap1.portは、バックエンド・ディレクトリとの通信に使用されるポートです。

- ldap1.binddnは、oimLDAPユーザーのバインドDNです。

- ldap1.passwordは、oimLDAPユーザーのパスワードです。

- ldap1.sslは、バックエンドのSSL接続を使用している場合、trueに設定され、使用していない場合、falseに設定されます。アダプタがAD用に作成されている場合、これは常にtrueに設定する必要があります。

- ldap1.baseは、ディレクトリ・ツリーのベースの場所です。

- ldap1.ovd.baseは、Oracle Virtual Directory内のマップされた場所です。

- usecase.typeは、単一ディレクトリ・タイプを使用している場合、Singleに設定されます。

3. 次の場所にあるidmConfigToolコマンドを使用してアダプタを構成します。
IAM_ORACLE_HOME/idmtools/bin

注意:

idmConfigToolを実行すると、idmDomainConfig.paramファイルが作成されるか、既存のこのファイルに情報が追加されます。このファイルは、idmConfigToolを実行したディレクトリに作成されます。このツールを実行するたびに同じファイルに情報が追加されるようにするには、必ず次のディレクトリでidmConfigToolを実行します。

IAM_ORACLE_HOME/idmtools/bin

Linuxの場合、このコマンドの構文は次のとおりです。

idmConfigTool.sh -configOVD input_file=configfile [log_file=logfile]

Windowsの場合、このコマンドの構文は次のとおりです。

idmConfigTool.bat -configOVD input_file=configfile [log_file=logfile]

次に例を示します。

idmConfigTool.sh -configOVD input_file=ovd1.props

このコマンドでは、入力は必要ありません。次のように出力されます。

The tool has completed its operation. Details have been logged to logfile

トポロジ内の各Oracle Virtual Directoryで、プロパティ・ファイルのovd.hostに適切な値を使用してこのコマンドを実行します。

12.3.2.2 アプリケーション・ディレクトリ・アダプタの作成

アプリケーション・ディレクトリ用のOracle Virtual Directoryアダプタを作成します。アプリケーション・ディレクトリのバックエンド・ディレクトリは常にOracle Internet Directoryです。

idmconfgToolを使用すると、Oracle Internet DirectoryおよびActive Directory用のOracle Virtual Directoryユーザーおよび変更ログ・アダプタを作成できます。Oracle Identity Managerにはアダプタが必要です。Oracle Virtual Directoryを使用してOracle Internet Directoryに接続することを強くお薦めします。ただしこれは必須ではありません。

そのためには、IDMHOST1で次のタスクを実行します。

1. 環境変数MW_HOME、JAVA_HOME、IDM_HOMEおよびORACLE_HOMEを設定します。
IDM_HOMEをIDM_ORACLE_HOMEに設定します。

ORACLE_HOMEをIAM_ORACLE_HOMEに設定します。

2. 構成しているアダプタのプロパティ・ファイルovd1.propsを作成します。このファイルの内容は次のとおりです。
Oracle Internet Directoryアダプタ・プロパティ・ファイル:

ovd.host:ldaphost1.mycompany.com
ovd.port:8899
ovd.binddn:cn=orcladmin
ovd.password:ovdpassword
ovd.oamenabled:true
ovd.ssl:true
ldap1.type:OID
ldap1.host:oididstore.mycompany.com
ldap1.port:3060
ldap1.binddn:cn=oimLDAP,cn=systemids,dc=mycompany,dc=com
ldap1.password:oidpassword
ldap1.ssl:false
ldap1.base:dc=mycompany,dc=com
ldap1.ovd.base:dc=mycompany,dc=com
usecase.type: single

次のリストで、プロパティ・ファイルで使用されるパラメータについて説明します。

- ovd.hostは、Oracle Virtual Directoryを実行しているサーバーのホスト名です。

- ovd.portは、Oracle Virtual Directoryへのアクセスに使用するHTTPSポートです。

- ovd.binddnは、Oracle Virtual Directoryへの接続に使用するユーザーDNです。

- ovd.passwordは、Oracle Virtual Directoryへの接続に使用するDNのパスワードです。

- ovd.oamenabledは、Oracle Access Management Access Managerを使用している場合、trueに設定され、使用していない場合、falseに設定されます。
ovd.oamenabledは、Fusion Applicationデプロイメントでは常にtrueです。

- ovd.sslは、HTTPSポートを使用している場合、trueに設定されます。

- ldap1.typeは、Oracle Internet Directoryバックエンド・ディレクトリの場合はOIDに、Active Directoryバックエンド・ディレクトリの場合はADに設定されます。

- ldap1.hostはバックエンド・ディレクトリが存在するホストです。ロード・バランサ名を使用します。

- ldap1.portは、バックエンド・ディレクトリとの通信に使用されるポートです。

- ldap1.binddnは、oimLDAPユーザーのバインドDNです。

- ldap1.passwordは、oimLDAPユーザーのパスワードです。

- ldap1.sslは、バックエンドのSSL接続を使用している場合、trueに設定され、使用していない場合、falseに設定されます。アダプタがAD用に作成されている場合、これは常にtrueに設定する必要があります。

- ldap1.baseは、ディレクトリ・ツリーのベースの場所です。

- ldap1.ovd.baseは、Oracle Virtual Directory内のマップされた場所です。

- usecase.typeは、単一ディレクトリ・タイプを使用している場合、Singleに設定されます。

3. 次の場所にあるidmConfigToolコマンドを使用してアダプタを構成します。
IAM_ORACLE_HOME/idmtools/bin

注意:

idmConfigToolを実行すると、idmDomainConfig.paramファイルが作成されるか、既存のこのファイルに情報が追加されます。このファイルは、idmConfigToolを実行したディレクトリに作成されます。このツールを実行するたびに同じファイルに情報が追加されるようにするには、必ず次のディレクトリでidmConfigToolを実行します。

IAM_ORACLE_HOME/idmtools/bin

Linuxの場合、このコマンドの構文は次のとおりです。

idmConfigTool.sh -configOVD input_file=configfile [log_file=logfile]

Windowsの場合、このコマンドの構文は次のとおりです。

idmConfigTool.bat -configOVD input_file=configfile [log_file=logfile]

次に例を示します。

idmConfigTool.sh -configOVD input_file=ovd1.props

このコマンドでは、入力は必要ありません。次のように出力されます。

The tool has completed its operation. Details have been logged to logfile

トポロジ内の各Oracle Virtual Directoryで、プロパティ・ファイルのovd.hostに適切な値を使用してこのコマンドを実行します。

12.3.3 グローバル・プラグインの作成

グローバルOracle Virtual Directoryプラグインを作成するには、次の手順を実行します。

1. Webブラウザで、Oracle Directory Services Manager (ODSM)にアクセスします。

2. LDAPHOST1およびLDAPHOST2で実行されているOracle Virtual Directoryインスタンスそれぞれへの接続がまだ存在していない場合は、これらを作成します。

3. 適切な接続エントリを使用して、各Oracle Virtual Directoryインスタンスに接続します。

4. ホーム・ページで、「拡張」タブをクリックします。拡張ナビゲーション・ツリーが表示されます。

5. 左ペインの「グローバル・プラグイン」の隣にある+をクリックします。

6. 「プラグインの作成」をクリックします。

7. 次のようにしてグローバル統合変更ログ・プラグインを作成します。
次の値を入力してグローバル統合プラグインを作成します。

- 名前: Global Consolidated Changelog

- クラス: 「選択」をクリックしてから、ConsolidatedChangelogを選択します。

終了したら、「OK」をクリックします。

これで、Oracle Virtual Directoryをアイデンティティ・ストアとして使用するように環境を構成する準備ができました。

12.4 その他の構成タスク

以前にOracle Identity Managerを単一ディレクトリと統合し、今回これを複数ディレクトリと再統合する場合、各増分ジョブの変更ログ数をゼロにリセットする必要があります。次の実行時に変更ログの数が再移入されます。

第VI部

付録

この部には、このドキュメント内の手順をサポートする補足的な内容が記載されており、次の付録が含まれています。

- 付録A「ODSMを使用した複数ディレクトリ・アイデンティティ・ストアのアダプタの検証」

- 付録B「idm.confファイルについて」

A ODSMを使用した複数ディレクトリ・アイデンティティ・ストアのアダプタの検証

第12章「複数ディレクトリのアイデンティティ・ストアの構成」の説明のとおりにOracle Virtual Directoryアダプタを構成すると、ODSMを使用してトラブルシューティング用にこのアダプタを表示できます。この章では、その方法を説明します。

この付録の内容は次のとおりです。

- 第A.1項「ODSMを使用した分割プロファイルのOracle Virtual Directoryアダプタの検証」

- 第A.2項「ODSMを使用した複数ディレクトリに別個のユーザーおよびグループを格納するためのアダプタの検証」

A.1 ODSMを使用した分割プロファイルのOracle Virtual Directoryアダプタの検証

この項では、第12章の「分割プロファイルのOracle Virtual Directoryアダプタの構成」で作成したアダプタを検証する方法について説明します。

この項は、次の項目を含んでいます。

- 第A.1.1項「Active Directoryサーバー用のユーザー・アダプタの検証」

- 第A.1.2項「Shadowjoinerユーザー・アダプタの検証」

- 第A.1.3項「JoinViewアダプタの検証」

- 第A.1.4項「Oracle Internet Directory用のユーザー/ロール・アダプタの検証」

- 第A.1.5項「Active Directoryサーバー用の変更ログ・アダプタの検証」

- 第A.1.6項「Oracle Internet Directory用の変更ログ・アダプタの検証」

- 第A.1.7項「グローバル統合変更ログ・プラグインの構成」

- 第A.1.8項「Oracle Virtual Directory変更ログの検証」

A.1.1 Active Directoryサーバー用のユーザー・アダプタの検証

Active Directory用の次のアダプタおよびプラグインを検証します。

次の手順に従い、Oracle Directory Services Managerを使用してOracle Virtual Directoryのユーザー・アダプタを検証します。

1. Webブラウザで、Oracle Directory Services Manager (ODSM)にアクセスします。URLの形式は、http://admin.mycompany.com/odsmです。

2. 適切な接続エントリを使用して、各Oracle Virtual Directoryインスタンスに接続します。

3. ホームページで、「アダプタ」タブをクリックします。

4. 「user_AD1」アダプタをクリックします。

5. ユーザー・アダプタ・ルーティングが正しく構成されていることを確認します。

1. 「可視性」は内部に設定する必要があります。

2. 「バインド・サポート」は有効に設定する必要があります。

6. ユーザー・アダプタのユーザー管理プラグインを次のように検証します。

1. 「ユーザー・アダプタ」を選択します。

2. 「プラグイン」タブをクリックします。

3. 「ユーザー管理」プラグインをクリックし、プラグイン表で「編集」をクリックします。プラグインの編集ウィンドウが表示されます。

4. プラグイン・パラメータが次のとおりであることを確認します。

パラメータ

値

デフォルト

directoryType

activedirectory

Yes

exclusionMapping

orclappiduser,uid=samaccountname

mapAttribute

orclguid=objectGuid

mapAttribute

uniquemember=member

addAttribute

user,samaccountname=%uid%,%orclshortuid%

mapAttribute

mail=userPrincipalName

mapAttribute

ntgrouptype=grouptype

mapObjectclass

groupofUniqueNames=group

mapObjectclass

orclidxperson=user

pwdMaxFailure

10

Yes

oamEnabled

True脚注 1

mapObjectClass

inetorgperson=user

Yes

mapPassword

True

Yes

oimLanguages

言語コードのカンマ区切りリスト(例: en,fr,ja)

脚注 1 Oracle Access Management Access Managerを使用している場合のみ、oamEnabledをtrueに設定します。

A.1.2 Shadowjoinerユーザー・アダプタの検証

次の手順に従い、Oracle Directory Services Managerを使用してOracle Virtual DirectoryのShadowJoinerアダプタを検証します。

1. Webブラウザで、Oracle Directory Services Manager (ODSM)にアクセスします。

2. Oracle Virtual Directoryに接続します。

3. ホームページで、「アダプタ」タブをクリックします。

4. 「Shadow4AD1」アダプタをクリックします。

5. ユーザー・アダプタ・ルーティングが正しく構成されていることを確認します。

1. 「可視性」は内部に設定する必要があります。

2. 「バインド・サポート」は有効に設定する必要があります。

6. ユーザー・アダプタを次のように検証します。

1. ユーザー・アダプタを選択します。

2. 「プラグイン」タブをクリックします。

3. 「ユーザー管理」プラグインをクリックし、プラグイン表で「編集」をクリックします。プラグインの編集ウィンドウが表示されます。

4. パラメータが次のとおりであることを確認します。

パラメータ

値

デフォルト

directoryType

oid

Yes

pwdMaxFailure

10

Yes

oamEnabled

true

mapObjectclass

container=orclContainer

Yes

oimDateFormat

yyyyMMddHHmmss'z'

A.1.3 JoinViewアダプタの検証

次の手順に従い、Oracle Directory Services Managerを使用してOracle Virtual Directoryのユーザー・アダプタを検証します。

1. Webブラウザで、Oracle Directory Services Manager (ODSM)ページにアクセスします。

2. Oracle Virtual Directoryに接続します。

3. ホームページで、「アダプタ」タブをクリックします。

4. 「JoinView」アダプタをクリックします。

5. アダプタを次のように検証します。

1. アダプタ・ツリーで「結合済アダプタ」をクリックします。これが存在するはずです。

2. 「OK」をクリックします。

A.1.4 Oracle Internet Directory用のユーザー/ロール・アダプタの検証

次の手順に従い、Oracle Directory Services Managerを使用してOracle Virtual Directoryのユーザー・アダプタを検証します。

1. Webブラウザで、Oracle Directory Services Manager (ODSM)にアクセスします。

2. Oracle Virtual Directoryに接続します。

3. ホームページで、「アダプタ」タブをクリックします。

4. ユーザー・アダプタをクリックします。

5. プラグインを次のように検証します。

1. ユーザー・アダプタを選択します。

2. 「プラグイン」タブをクリックします。

3. 「プラグイン」表の「ユーザー管理」プラグインをクリックし、「編集」をクリックします。プラグインの編集ウィンドウが表示されます。

4. パラメータが次のとおりであることを確認します。

パラメータ

値

デフォルト

directoryType

oid

Yes

pwdMaxFailure

10

Yes

oamEnabled

true

mapObjectclass

container=orclContainer

Yes

oimDateFormat

yyyyMMddHHmmss'z'

5. 「OK」をクリックします。

A.1.5 Active Directoryサーバー用の変更ログ・アダプタの検証

次の手順に従い、Oracle Directory Services Managerを使用してOracle Virtual Directoryの変更ログ・アダプタを検証します。

1. Webブラウザで、Oracle Directory Services Manager (ODSM)にアクセスします。

2. Oracle Virtual Directoryに接続します。

3. ホームページで、「アダプタ」タブをクリックします。

4. 「changelog_AD1」アダプタをクリックします。

5. プラグインを次のように検証します。

1. 「Changelog Adapter」を選択します。

2. 「プラグイン」タブをクリックします。

3. 「デプロイ済プラグイン」表で、「変更ログ」プラグインをクリックし、プラグイン表で「編集」をクリックします。プラグインの編集ウィンドウが表示されます。

4. パラメータ値が次のとおりであることを確認します。

パラメータ

値

directoryType

activedirectory

mapAttribute

targetGUID=objectGUID

requiredAttribute

samaccountname

sizeLimit

1000

targetDNFilter

cn=users,dc=idm,dc=ad,dc=com

Active Directory内のユーザー・コンテナ

mapUserState

true

oamEnabled

true

virtualDITAdapterName

user_J1;user_AD1

A.1.6 Oracle Internet Directory用の変更ログ・アダプタの検証

変更ログ・アダプタを使用するには、まず接続されたディレクトリ上で変更ログを有効にする必要があります。ディレクトリで変更ログが有効かどうかをテストするには、次のように入力します。

ldapsearch -h directory_host -p ldap_port -D bind_dn -q -b '' -s base 'objectclass=*' lastchangenumber

次に例を示します。

ldapsearch -h ldaphost1 -p 389 -D "cn=orcladmin" -q -b '' -s base 'objectclass=*' lastchangenumber

lastchangenumberに値が指定されている場合、これは有効です。有効でない場合は、『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』のコマンドラインを使用した変更ログ生成の有効化および無効化に関する項の説明に従って、有効にしてください。

次の手順に従い、Oracle Directory Services Managerを使用してOracle Virtual Directoryの変更ログ・アダプタを検証します。

1. Webブラウザで、Oracle Directory Services Manager (ODSM)にアクセスします。

2. Oracle Virtual Directoryインスタンスに接続します。

3. ホームページで、「アダプタ」タブをクリックします。

4. 変更ログ・アダプタをクリックします。

5. プラグインを次のように検証します。

1. 「Changelog Adapter」を選択します。

2. 「プラグイン」タブをクリックします。

3. 「デプロイ済プラグイン」表で、「変更ログ」プラグインをクリックしてから、プラグイン表で「編集」をクリックします。プラグインの編集ウィンドウが表示されます。

4. パラメータ値が次のとおりであることを確認します。

パラメータ

値

directoryType

oid

mapAttribute

targetGUID=orclguid

requiredAttribute

orclGUID

modifierDNFilter

cn=orcladmin

sizeLimit

1000

targetDNFilter

dc=mycompany,dc=com

targetDNFilter

cn=shadowentries

mapUserState

true

oamEnabled

true

virtualDITAdapterName

user_J1;shadow4AD1

virtualDITAdapterName

User Adapter(ユーザー・アダプタの名前)

A.1.7 グローバル統合変更ログ・プラグインの構成

グローバル・レベル統合変更ログ・プラグインを次のように検証します。

1. Webブラウザで、Oracle Directory Services Manager (ODSM)にアクセスします。

2. Oracle Virtual Directoryインスタンスに接続します。

3. ホーム・ページで、「拡張」タブをクリックします。拡張ナビゲーション・ツリーが表示されます。

4. 「グローバル・プラグイン」を展開します。

5. 「ConsolidatedChglogPlugin」をクリックします。プラグインの編集ウィンドウが表示されます。

A.1.8 Oracle Virtual Directory変更ログの検証

変更ログ・アダプタが機能していることを検証するには、次のコマンドを実行します。

$IDM_ORACLE_HOME/bin/ldapsearch -p 6501 -D cn=orcladmin -q -b 'cn=changelog' -s base 'objectclass=*' lastchangenumber

このコマンドは、次のような変更ログの結果を戻します。

Please enter bind password:
cn=Changelog
lastChangeNumber=changelog_OID:190048;changelog_AD1:363878

ldapsearchが変更ログの結果を戻さない場合は、変更ログ・アダプタの構成を再確認してください。

A.2 ODSMを使用した複数ディレクトリに別個のユーザーおよびグループを格納するためのアダプタの検証

この項では、第12.3.2項「複数ディレクトリに別個のユーザーおよびグループを格納するためのOracle Virtual Directoryアダプタの構成」で作成したアダプタの表示方法について説明します。

LDAPHOST1とLDAPHOST2でそれぞれ実行されているOracle Virtual Directoryインスタンスでユーザー・アダプタを検証します。次の手順に従い、Oracle Directory Services Managerを使用してOracle Virtual Directoryのユーザー・アダプタを検証します。

1. 管理サーバーおよびWLS_ODSM管理対象サーバーがまだ実行されていない場合はこれらを起動します。

2. Webブラウザで、次のアドレスを指定してOracle Directory Services Manager (ODSM)にアクセスします。
http://admin.mycompany.com/odsm

3. LDAPHOST1およびLDAPHOST2で実行されているOracle Virtual Directoryインスタンスそれぞれへの接続がまだ存在していない場合は、これらを検証します。

4. 適切な接続エントリを使用して、各Oracle Virtual Directoryインスタンスに接続します。

5. ホームページで、「アダプタ」タブをクリックします。

6. 各アダプタの名前をクリックします。アダプタに次の表に示すパラメータがあることを確認します。

この項は、次の項目を含んでいます。

- 第A.2.1項「ユーザー/ロール・アダプタA1」

- 第A.2.2項「ユーザー/ロール・アダプタA2」

- 第A.2.3項「変更ログ・アダプタC1」

- 第A.2.4項「Active Directory用の変更ログ・アダプタ」

- 第A.2.5項「変更ログ・アダプタC2」

- 第A.2.6項「Oracle Virtual Directoryグローバル・プラグインの検証」

- 第A.2.7項「グローバル統合変更ログ・プラグインの構成」

A.2.1 ユーザー/ロール・アダプタA1

ユーザー/ロール・アダプタA1のプラグインを次のように検証します。

1. OIMユーザー・アダプタを選択します。

2. 「プラグイン」タブをクリックします。

3. 「ユーザー管理」プラグインをクリックし、プラグイン表で「編集」をクリックします。プラグインの編集ウィンドウが表示されます。

4. パラメータ値が次のとおりであることを確認します。

パラメータ

値

デフォルト

directoryType

activedirectory

Yes

exclusionMapping

orclappiduser,uid=samaccountname

mapAttribute

orclguid=objectGuid

mapAttribute

uniquemember=member

addAttribute

user,samaccountname=%uid%,%orclshortuid%

mapAttribute

mail=userPrincipalName

mapAttribute

ntgrouptype=grouptype

mapObjectclass

groupofUniqueNames=group

mapObjectclass

orclidxperson=user

pwdMaxFailure

10

Yes

oamEnabled

True脚注 1

mapObjectClass

inetorgperson=user

Yes

mapPassword

True

Yes

oimLanguages

言語コードのカンマ区切りリスト(例: en,fr,ja)

脚注 1 Oracle Access Management Access Managerを使用している場合のみ、oamEnabledをtrueに設定します。

A.2.2 ユーザー/ロール・アダプタA2

ユーザー/ロール・アダプタA2のプラグインを次のように検証します。

1. ユーザー・アダプタを選択します。

2. 「プラグイン」タブをクリックします。

3. 「プラグイン」表の「ユーザー管理」プラグインをクリックし、「編集」をクリックします。プラグインの編集ウィンドウが表示されます。

4. パラメータ値が次のとおりであることを確認します。

パラメータ

値

デフォルト

directoryType

oid

Yes

pwdMaxFailure

10

Yes

oamEnabled

true脚注 1

mapObjectclass

container=orclContainer

Yes

脚注 1 Oracle Access Management Access Managerを使用している場合のみ、oamEnabledをtrueに設定します。

A.2.3 変更ログ・アダプタC1

変更ログ・アダプタC1プラグインを検証するには、次の手順を実行します。

1. OIM変更ログ・アダプタ「Changelog_Adapter_C1」を選択します。

2. 「プラグイン」タブをクリックします。

3. 「デプロイ済プラグイン」表で、「変更ログ」プラグインをクリックし、プラグイン表で「編集」をクリックします。プラグインの編集ウィンドウが表示されます。

4. 「パラメータ」表で、値が次のとおりであることを確認します。

表A-1 「パラメータ」表の値

パラメータ

値

コメント

modifierDNFilter

ディレクトリ・サーバーに対する管理権限を持つバインドDN。形式は次のとおりです。

"!(modifiersname=cn=BindDN)"

次に例を示します。

"!(modifiersname=cn=orcladmin,cn=systemids,dc=mycompany,dc=com)"

作成

sizeLimit

1000

作成

targetDNFilter

dc=us,dc=mycompany,dc=com

作成

mapUserState

true

更新

oamEnabled

true

更新

virtualDITAdapterName

ユーザー/ロール・アダプタA1のアダプタ名: User_Adapter_A1

作成

A.2.4 Active Directory用の変更ログ・アダプタ

プラグインを次のように検証します。

1. 「OIM Changelog Adapter」を選択します。

2. 「プラグイン」タブをクリックします。

3. 「デプロイ済プラグイン」表で、「変更ログ」プラグインをクリックし、プラグイン表で「編集」をクリックします。プラグインの編集ウィンドウが表示されます。

4. 「パラメータ」表で、パラメータが次のとおりであることを確認します。

パラメータ

値

directoryType

activedirectory

mapAttribute

targetGUID=objectGUID

requiredAttribute

samaccountname

sizeLimit

1000

targetDNFilter

dc=mycompany,dc=com

リコンシリエーションの元となる検索ベース。この値は、Oracle Identity Managerのインストール時に指定されたLDAP SearchDNと同じであることが必要です。

mapUserState

true

oamEnabled

true脚注 1

virtualDITAdapterName

ユーザー・アダプタの名前

脚注 1 Oracle Access Management Access Managerを使用している場合のみ、oamEnabledをtrueに設定します。

注意:

virtualDITAdapterNameは、対応するユーザー・プロファイルのアダプタ名を識別します。たとえば、単一ディレクトリ・デプロイメントの場合は、このパラメータ値をUser Adapter (ユーザー・アダプタ名)に設定できます分割ユーザー・プロファイルのシナリオでは、このパラメータをJ1;A2に設定できます。ここで、J1はJoinViewアダプタ名、A2はJ1内の対応するユーザー・アダプタです。

A.2.5 変更ログ・アダプタC2

プラグインを次のように検証します。

1. OIM変更ログ・アダプタ「Changelog_Adapter_C2」を選択します。

2. 「プラグイン」タブをクリックします。

3. 「デプロイ済プラグイン」表で、「変更ログ」プラグインをクリックし、プラグイン表で「編集」をクリックします。プラグインの編集ウィンドウが表示されます。

4. 「パラメータ」表で、パラメータが次のとおりであることを確認します。

表A-2 「パラメータ」表の値

パラメータ

値

コメント

modifierDNFilter

ディレクトリ・サーバーに対する管理権限を持つバインドDN。形式は次のとおりです。

"!(modifiersname=cn=BindDN)"

次に例を示します。

"!(modifiersname=cn=orcladmin,dc=mycompany,dc=com)"

作成

sizeLimit

1000

作成

targetDNFilter

dc=uk,dc=mycompany,dc=com

作成

mapUserState

true

更新

oamEnabled

true

更新

virtualDITAdapterName

ユーザー/ロール・アダプタA2のアダプタ名: User_Adapter_A2

作成

A.2.6 Oracle Virtual Directoryグローバル・プラグインの検証

グローバルOracle Virtual Directoryプラグインを検証するには、次の手順を実行します。

1. Webブラウザで、次のアドレスを指定してOracle Directory Services Manager (ODSM)にアクセスします。
http://admin.mycompany.com/odsm

2. LDAPHOST1およびLDAPHOST2で実行されているOracle Virtual Directoryインスタンスそれぞれへの接続がまだ存在していない場合は、これらを検証します。

3. 適切な接続エントリを使用して、各Oracle Virtual Directoryインスタンスに接続します。

4. ホームページで、「アダプタ」タブをクリックします。

5. 「プラグイン」タブをクリックします。

6. グローバル統合変更ログ・プラグインが存在することを確認します。
終了したら、「OK」をクリックします。

A.2.7 グローバル統合変更ログ・プラグインの構成

グローバル・レベル統合変更ログ・プラグインを次のように検証します。

1. Webブラウザで、Oracle Directory Services Manager (ODSM)にアクセスします。

2. Oracle Virtual Directoryインスタンスに接続します。

3. ホーム・ページで、「拡張」タブをクリックします。拡張ナビゲーション・ツリーが表示されます。

4. 「グローバル・プラグイン」を展開します。

5. 「ConsolidatedChglogPlugin」をクリックします。プラグインの編集ウィンドウが表示されます。

B idm.confファイル

この付録では、Webインタフェースのあるアプリケーションのidm.confファイルの目的と使用方法について説明します。

この付録のトピックは次のとおりです。

- idm.confファイルについて

- idm.confファイルの例

B.1 idm.confファイルについて

Oracle Fusion Middleware環境において、Web層の最上位の構成ファイルはhttpd.confです。このファイルは、HTTPプロトコルを使用するWebトランザクションを処理するOracle HTTP Serverを構成します。Oracle HTTP Serverは、各受信リクエストを処理し、そのリクエスト元のURLとアクセスするリソースに基づいてルーティングを決定します。

追加の構成ファイルは、Apache HTTP ServerのIfmoduleブロックにあるIncludeディレクティブにより、httpd.confファイルに指定されます。

特にアイデンティティ管理アプリケーションでは、idm.conf構成ファイルを使用します。これはテンプレートで、保護されるアプリケーションの受信リクエストを処理する方法を示すように管理者が変更することが可能です。

idm.conf構成ファイルは、それぞれ異なるセキュリティ領域またはゾーンに対処する4つの部分に分割されています。表B-1に、ゾーンをリストします。

表B-1 idm.confファイル内のゾーン

ゾーン

タイプ

詳細

1

デフォルト・アクセス

第B.1.1項

2

外部アクセス

第B.1.2項

3

内部サービス

第B.1.3項

4

管理サービス

第B.1.4項

idm.confファイルを更新する際は、要件に当てはまるゾーン定義のみを編集するようにしてください。

B.1.1 デフォルト・アクセス・ゾーン

このゾーンは、すべてのインバウンド・トラフィックのデフォルトのOracle HTTP Serverエンドポイントです。プロトコルはhttpで、コンテキスト・ルートはauthohs.example.com:7777の形式となります。

B.1.2 外部アクセス・ゾーン

このゾーンはロード・バランサ(LBR)外部エンド・ユーザー・エンドポイントです。プロトコルはhttpsで、コンテキスト・ルートはsso.example.com:443の形式となります。

B.1.3 内部サービス・ゾーン

このゾーンはアプリケーションのLBR内部エンドポイントです。プロトコルはhttpで、コンテキスト・ルートはidminternal.example.com:7777の形式となります。

B.1.4 管理サービス・ゾーン

このゾーンは管理サービスのLBR内部エンドポイントです。プロトコルはhttpsで、コンテキスト・ルートはadmin.example.com:443の形式となります。

B.2 idm.confファイルの例

次の例は、idm.confファイルのレイアウトと様々なゾーンを示しています。

NameVirtualHost *:7777

## Default Access
## AUTHOHS.EXAMPLE.COM

<VirtualHost *:7777>
#  ServerName http://authohs.example.com:7777 (replace the ServerName below with the actual host:port)
ServerName http://authohs.us.example.com:7777
RewriteEngine On
RewriteRule ^/console/jsp/common/logout.jsp "/oamsso/logout.html?end_url=/console" [R]
RewriteRule ^/em/targetauth/emaslogout.jsp "/oamsso/logout.html?end_url=/em" [R]
RewriteRule ^/FSMIdentity/faces/pages/Self.jspx "/oim" [R]
RewriteRule ^/FSMIdentity/faces/pages/pwdmgmt.jspx "/admin/faces/pages/pwdmgmt.jspx" [R]
RewriteOptions inherit
UseCanonicalName On

# Admin Server and EM

<Location /console>
SetHandler weblogic-handler
WebLogicHost us.example.com
WeblogicPort 17001
</Location>

<Location /consolehelp>
SetHandler weblogic-handler
WebLogicHost us.example.com
WeblogicPort 17001
</Location>

<Location /em>
SetHandler weblogic-handler
WebLogicHost us.example.com
WeblogicPort 17001
</Location>

# FA service

<Location /fusion_apps>
SetHandler weblogic-handler
WebLogicHost us.example.com
WebLogicPort 14100
</Location>

#ODSM Related entries
<Location /odsm>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WebLogicHost oidfa.us.example.com
WeblogicPort 7005
</Location>

# OAM Related Entries

<Location /oamconsole>
SetHandler weblogic-handler
WebLogicHost us.example.com
WebLogicPort 17001
</Location>

<Location /oam>
SetHandler weblogic-handler
WebLogicHost us.example.com
WebLogicPort 14100
</Location>

# OIM Related Entries

# oim identity self service console
<Location /identity>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>
# oim identity system administration console
<Location /sysadmin>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>
# oim identity advanced administration console - Legacy 11gR1 webapp
<Location /oim>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# xlWebApp - Legacy 9.x webapp (struts based)
<Location /xlWebApp>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# Nexaweb WebApp - used for workflow designer and DM
<Location /Nexaweb>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# spml xsd profile
<Location /spml-xsd>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# used for FA Callback service.
<Location /callbackResponseService>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# Role-SOD profile
<Location /role-sod>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# SOA Callback webservice for SOD - Provide the SOA Managed Server Ports
<Location /sodcheck>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 8001

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# Callback webservice for SOA. SOA calls this when a request is approved/rejected
# Provide the SOA Managed Server Port
<Location /workflowservice>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# HTTP client service
<Location /HTTPClnt>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# OIF Related Entries

<Location /fed>
SetHandler weblogic-handler
WebLogicHost us.example.com
WebLogicPort 7499
</Location>

</VirtualHost>

## External Access
## SSO.EXAMPLE.COM

<VirtualHost *:7777>
#  ServerName https://sso.example.com:443 (replace the ServerName below with the actual host:port)
ServerName https://sso.example.com:443
RewriteEngine On
RewriteRule ^/console/jsp/common/logout.jsp "/oamsso/logout.html?end_url=/console" [R]
RewriteRule ^/em/targetauth/emaslogout.jsp "/oamsso/logout.html?end_url=/em" [R]
RewriteRule ^/FSMIdentity/faces/pages/Self.jspx "/oim" [R]
RewriteRule ^/FSMIdentity/faces/pages/pwdmgmt.jspx "/admin/faces/pages/pwdmgmt.jspx" [R]
RewriteOptions inherit
UseCanonicalName On

# FA service
<Location /fusion_apps>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WebLogicHost us.example.com
WebLogicPort 14100
</Location>

# OAM Related Entries

<Location /oam>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WebLogicHost us.example.com
WebLogicPort 14100
</Location>

# OIM Related Entries

# oim identity self service console
<Location /identity>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>
# oim identity system administration console
<Location /sysadmin>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>
# oim identity advanced administration console - Legacy 11gR1 webapp
<Location /oim>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# xlWebApp - Legacy 9.x webapp (struts based)
<Location /xlWebApp>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# Nexaweb WebApp - used for workflow designer and DM
<Location /Nexaweb>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# spml xsd profile
<Location /spml-xsd>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# used for FA Callback service.
<Location /callbackResponseService>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# OIF Related Entries
<Location /fed>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WebLogicHost weblogic-host.example.com
WebLogicPort 7499
</Location>

</VirtualHost>

## IDM Internal services for FA
## IDMINTERNAL.EXAMPLE.COM

<VirtualHost *:7777>
#  ServerName http://idminternal.example.com:7777 (replace the ServerName below with the actual host:port)
ServerName http://idminternal.example.com:7777
RewriteEngine On
RewriteRule ^/console/jsp/common/logout.jsp "/oamsso/logout.html?end_url=/console" [R]
RewriteRule ^/em/targetauth/emaslogout.jsp "/oamsso/logout.html?end_url=/em" [R]
RewriteRule ^/FSMIdentity/faces/pages/Self.jspx "/oim" [R]
RewriteRule ^/FSMIdentity/faces/pages/pwdmgmt.jspx "/admin/faces/pages/pwdmgmt.jspx" [R]
RewriteOptions inherit
UseCanonicalName On

# FA service
<Location /fusion_apps>
SetHandler weblogic-handler
WebLogicHost us.example.com
WebLogicPort 14100
</Location>

# OAM Related Entries

<Location /oam>
SetHandler weblogic-handler
WebLogicHost us.example.com
WebLogicPort 14100
</Location>

# OIM Related Entries

# oim identity self service console
<Location /identity>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>
# oim identity system administration console
<Location /sysadmin>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>
# oim identity advanced administration console - Legacy 11gR1 webapp
<Location /oim>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# xlWebApp - Legacy 9.x webapp (struts based)
<Location /xlWebApp>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# Nexaweb WebApp - used for workflow designer and DM
<Location /Nexaweb>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# spml xsd profile
<Location /spml-xsd>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# used for FA Callback service.
<Location /callbackResponseService>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# Role-SOD profile
<Location /role-sod>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# SOA Callback webservice for SOD - Provide the SOA Managed Server Ports
<Location /sodcheck>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 8001

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# Callback webservice for SOA. SOA calls this when a request is approved/rejected
# Provide the SOA Managed Server Port
<Location /workflowservice>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# HTTP client service
<Location /HTTPClnt>
SetHandler weblogic-handler
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# OIF Related Entries

<Location /fed>
SetHandler weblogic-handler
WebLogicHost us.example.com
WebLogicPort 7499
</Location>

</VirtualHost>

## IDM Admin services for FA
## ADMIN.EXAMPLE.COM

<VirtualHost *:7777>
#  ServerName https://admin.example.com:443 (replace the ServerName below with the actual host:port)
ServerName https://admin.example.com:443
RewriteEngine On
RewriteRule ^/console/jsp/common/logout.jsp "/oamsso/logout.html?end_url=/console" [R]
RewriteRule ^/em/targetauth/emaslogout.jsp "/oamsso/logout.html?end_url=/em" [R]
RewriteRule ^/FSMIdentity/faces/pages/Self.jspx "/oim" [R]
RewriteRule ^/FSMIdentity/faces/pages/pwdmgmt.jspx "/admin/faces/pages/pwdmgmt.jspx" [R]
RewriteOptions inherit
UseCanonicalName On

# Admin Server and EM

<Location /console>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WebLogicHost us.example.com
WeblogicPort 17001
</Location>

<Location /consolehelp>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WebLogicHost us.example.com
WeblogicPort 17001
</Location>

<Location /em>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WebLogicHost us.example.com
WeblogicPort 17001
</Location>

#ODSM Related entries
<Location /odsm>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WebLogicHost oidfa.us.example.com
WeblogicPort 7005
</Location>

# OAM Related Entries

<Location /oamconsole>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WebLogicHost us.example.com
WebLogicPort 17001
</Location>

# OIM Related Entries

# oim identity self service console
<Location /identity>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>
# oim identity system administration console
<Location /sysadmin>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>
# oim identity advanced administration console - Legacy 11gR1 webapp
<Location /oim>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000
WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# xlWebApp - Legacy 9.x webapp (struts based)
<Location /xlWebApp>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# Nexaweb WebApp - used for workflow designer and DM
<Location /Nexaweb>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# HTTP client service
<Location /HTTPClnt>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WLCookieName oimjsessionid
WebLogicHost us.example.com
WeblogicPort 14000

WLLogFile "${ORACLE_INSTANCE}/diagnostics/logs/mod_wl/oim_component.log"
</Location>

# OIF Related Entries
<Location /fed>
SetHandler weblogic-handler
WLProxySSL ON
WLProxySSLPassThrough ON
WebLogicHost weblogic-host.example.com
WebLogicPort 7499
</Location>

</VirtualHost>

索引
A  B  C  D  F  I  J  K  L  N  O  P  S  T  U  W

A

Access Manager, 6.1

およびOracle Adaptive Access Manager, 9

およびOracle Identity Manager, 9

カスタム・アダプタの作成, 6.1.3

データベース・アダプタの作成, 6.1.2

LDAPアダプタの作成, 6.1.1

Access ManagerとOAAMとのTAP統合, 9.2 Access ManagerとOracle Adaptive Access Managerの統合, 8 Access Manager、OAAMおよびOIMの統合, 9 Access ManagerとOAAMとのTAP統合, 8.2 アカウントのロックとロック解除, 1.5.3.5

処理フロー, 1.5.3.5

アクション, 8.2, 9.2 アダプタ

カスタムの作成, 6.1.3

データベースの作成, 6.1.2

LDAPの作成, 6.1.1

カスタム設定, 6.1.3.2

データベース設定, 6.1.2.2

LDAP証明書, 6.1.1.2.2

LDAP設定, 6.1.1.2.1

拡張統合

手順, 8.4

アラート, 8.2

B

基本統合

前提条件, 8.3.1

C

チャレンジのリセット, 1.5.3.7, 1.5.3.7

処理フロー, 1.5.3.7

チャレンジの設定, 1.5.3.6, 1.5.3.6

処理フロー, 1.5.3.6

Changelogプラグイン

構成パラメータ, 4.3.3

説明, 4.3

Changelogプラグイン, 4.3.2 構成パラメータ

Changelogプラグイン, 4.3.3

OAMPolicyControlプラグイン, 6.2.1

UserManagementプラグイン, 4.2.1

構成

LDAP認証, 3.10

configureOAAMのWLSTコマンド

OAMとOAAMの統合, 8.7.1.4

資格証明

パススルー・モードの使用, 6.1.1.2.1

カスタム・アダプタ

Access Manager用, 6.1.3

D

厳密認証のデプロイメント・オプション, 9.1.1

ドメイン・エージェント, 1.3.3.1

F

フロー

アカウントのロックとロック解除, 1.5.3.5

チャレンジのリセット, 1.5.3.7

チャレンジの設定, 1.5.3.6

パスワードの変更, 1.5.3.3

パスワードを忘れた場合, 1.5.3.4

パスワード管理, 1.5.3.1

自己登録, 1.5.3.2

パスワードを忘れた場合, 1.5.3.4

処理フロー, 1.5.3.4

不正ルール, 8.2, 9.2

I

アイデンティティ・ストア

複数のディレクトリ, 12.3

分割, 12.2

IdM構成ツール, 2 idmConfigTool, 4.1 IDMDomainエージェント

およびWebゲート, 1.3.3.1

統合

OAAMとAccess Manager, 8

J

Javaコンポーネント

定義, 1.2.4

K

ナレッジベース認証(KBA), 8.2, 8.2, 8.2, 8.2, 9.2, 9.2, 9.2, 9.2

krb5.conf, 6.1.1.2.1

L

LDAP認証

構成, 3.10

N

ネイティブ統合

手順, 8.3.3

O

OAAMアクション, 9.2

OAAMアラート, 9.2

OAAMとAccess Managerの統合, 8

パートナ・アプリケーションとしてのOAAMサーバー, 8.4.9

OAMAgent, 1.3.3.1

OHSでのデフォルト, 1.3.3.1

oam-config.xmlファイル, 8.3.3, 8.7.4.2 OAMとOAAMの統合

configureOAAMのWLSTコマンド, 8.7.1.4

OAMPolicyControlプラグイン

構成パラメータ, 6.2.1

説明, 6.2

Oracle Access Manager

およびOracle Adaptive Access Manager, 1.3.5, 9.1

およびOracle Identity Federation, 10

およびOracle Identity Federation, 1.3.6

およびOracle Identity Manager, 1.3.4, 7.1, 9.1

およびOracle Identity Navigator, 1.3.7, 11

保護, 5.5.1, 5.5.1

Oracle Adaptive Access ManagerおよびOracle Identity Manager, 9

Oracle Adaptive Access Manager, 1.3.5, 1.3.5

Oracle Identity Managerのプロパティ, 9.8.2

リソース保護, 8.4.15, 8.4.15.2

Oracle Adaptive Access ManagerとAccess Managerの統合, 8 Oracle Adaptive Access Managerスナップショット, 8.4.5 Oracle Enterprise Manager

定義, 1.2.4

Oracle Enterprise Manager Fusion Middleware Control

「Oracle Enterprise Manager」を参照

Oracle Fusion Middlewareファーム

定義, 1.2.4

Oracle Fusion Middlewareホーム

定義, 1.2.4

Oracleホーム

定義, 1.2.4

Oracle HTTP Server、11.1

およびOAMAgent, 1.3.3.1

およびWebゲート, 1.3.3.1

Oracle Identity Federation, 1.3.6, 1.3.6, 10

SP統合エンジン, 10.1.1

Oracle Identity Manager, 1.3.4, 1.3.4

3方向統合のプロパティの構成, 9.8.1

資格証明ストア・フレームワーク内の資格証明, 9.8.3

Oracle Adaptive Access Managerとの統合, 9.8

パスワード管理, 9.1

Webゲートの資格証明, 9.8.3

Oracle Identity Navigator, 1.3.7, 1.3.7, 11

SSO有効化URL, 11

Oracleインスタンス

定義, 1.2.4

OVD

Access Manager用の構成, 6.1

P

パスワードの変更, 1.5.3.3

処理フロー, 1.5.3.3

パスワード管理, 9.1.2

処理フロー, 1.5.3.1

3方向統合, 9.1.2

Oracle Identity Manager, 1.5.3.1

プラグイン

Changelog, 4.3

Java

UserManagement, 4.2

OAMPolicyControl, 6.2 プラグイン、Java

Changelog, 4.3.2

S

自己登録, 1.5.3.2

処理フロー, 1.5.3.2

SP統合エンジン

Oracle Identity Federation用, 10.1.1

SSO有効のURL

Oracle Identity Navigator用, 11

ステップアップ認証, 8.2, 9.2 厳密認証, 8.4 システム・コンポーネント

定義, 1.2.4

T

TAPscheme

アイデンティティ管理製品リソース用の構成, 8.4.14

3方向統合

手順, 9.5

Trusted Authentication Protocol (TAP), 8.4.9, 9.7

U

URL

Oracle Access Manager URLの保護, 5.5.1, 5.5.1

UserManagementプラグイン

構成パラメータ

説明, 4.2

W

Webゲート, 1.3.3.1

およびIDMDomainエージェント, 1.3.3.1

WebLogic,

管理サーバー, 1.2.4

管理対象サーバー, 1.2.4

WebLogic Server

ホームの定義, 1.2.4

WebLogic Serverドメイン

定義, 1.2.4

オラクル社の法律上の注意点について

コピーライトについて

Copyright © 1994-2013, Oracle and/or its affiliates.All rights reserved.

商標と登録商標について

OracleおよびJavaはOracle Corporationおよびその関連企業の登録商標です。その他の名称は、それぞれの所有者の商標または登録商標です。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXは、The Open Groupの登録商標です。

ライセンス制約の保証と結果的に生じる損害の免責

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

保証免責

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

制限付権利

このソフトウェアまたは関連ドキュメントを、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供する場合は、次の通知が適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs.No other rights are granted to the U.S. Government.

危険な用途への使用について

このソフトウェアもしくはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアもしくはハードウェアは、危険が伴うアプリケーション（人的傷害を発生させる可能性があるアプリケーションを含む）への用途を目的として開発されていません。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用する際、安全に使用するために、適切な安全装置、バックアップ、冗長性（redundancy）、その他の対策を講じることは使用者の責任となります。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

第三者のコンテンツ、製品、サービスに対する免責事項

このソフトウェアまたはハードウェア、そしてドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても一切の責任を負いかねます。

ドラフトのアルファ版およびベータ版ドキュメントについて

このドキュメントが試作版の場合:

このドキュメントは試作版であり、デモおよび暫定使用のみを目的としたものです。このソフトウェアを使用するハードウェアに限定するものではありません。オラクル社およびその関連会社は、このドキュメントに関して一切の責任を負わず、いかなる保証もいたしません。また、このドキュメントを使用したことによって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。