Oracle® Fusion Middleware Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイド

11gリリース2 (11.1.2.1.0)

B72797-01(原本部品番号:E28523-02)

目次

タイトルおよび著作権情報

はじめに

- 対象読者

- ドキュメントのアクセシビリティについて

- 関連ドキュメント

- 表記規則

1 サード・パーティ・アプリケーション・サーバーの概要

- 1.1 サード・パーティ・アプリケーション・サーバーとは

- 1.2 サード・パーティ・アプリケーション・サーバーをサポートするOracle Fusion Middlewareのコンポーネント

- 1.3 Oracle Fusion MiddlewareのIBM WebSphereサポートの概要

- 1.3.1 サポートされているIBM WebSphere Application Server

- 1.3.2 IBM WebSphere Application Server - NDでのOracle Fusion Middlewareのトポロジの理解

- 1.4 IBM WebSphereでのOracle Identity and Access Management製品の使用に関するドキュメント・リソース

2 Oracle Identity and Access ManagementのIBM WebSphereでのインストールおよび構成

- 2.1 タスク1: システム要件と動作保証情報の確認

- 2.2 タスク2: 必要なソフトウェア・メディアまたはダウンロードの取得

- 2.3 タスク3: データベースの特定と必要なデータベース・スキーマのインストール

- 2.4 タスク4: IBM WebSphereソフトウェアのインストール

- 2.4.1 IBM WebSphereソフトウェアの取得およびインストールに関するIBMオンライン・リソース

- 2.4.2 IBM WebSphere Softwareをインストールする前の重要な考慮点

- 2.4.2.1 プラットフォームに適切なIBM WebSphereインストーラの使用

- 2.4.2.2 IBM WebSphereのインストール時のサンプル・アプリケーションとデフォルトのプロファイルについて

- 2.4.2.3 WAS_HOMEディレクトリ・パスについて

- 2.5 タスク5: Oracle SOA Suiteのインストール(Oracle Identity Managerユーザーのみ)

- 2.6 タスク6: Oracle Identity and Access Management Suiteのインストール

- 2.6.1 IBM WebSphereでのOracle Identity and Access Managementインストール時の特別な手順

- 2.7 タスク7: オプション: Oracle Privileged Account Managerデータ・ストアでのTDEの有効化(Oracle Privileged Account Managerユーザーのみ)

- 2.7.1 データベースでのTDEの有効化

- 2.7.2 OPAMスキーマでの暗号化の有効化

- 2.8 タスク8: 新しいIBM WebSphereセルでのOracle Identity and Access Managementコンポーネントの構成

- 2.8.1 IBM WebSphereでの構成ウィザードの使用方法に関する一般情報

- 2.8.2 単一ノードの設定に対応するOracle Identity and Access Managementコンポーネントの構成

- 2.9 タスク9: データベース・セキュリティ・ストアの構成

- 2.10 タスク10: IBM WebSphereサーバーの起動

- 2.11 タスク11: IBM WebSphereセルの構成の検証

3 IBM WebSphereでのOracle Identity and Access Managementの管理

- 3.1 IBM WebSphereでのOracle Fusion Middleware管理ツールの概要

- 3.1.1 WebSphere管理コンソールの使用

- 3.1.1.1 IBM WebSphere管理コンソールについて

- 3.1.1.2 IBM WebSphere管理コンソールのポート番号およびURLの検索

- 3.1.2 Oracle Enterprise Manager Fusion Middleware Controlの使用

- 3.1.2.1 Oracle Enterprise Manager Fusion Middleware Controlについて

- 3.1.2.2 Fusion Middleware Controlのポート番号およびURLの検索

- 3.1.2.3 Fusion Middleware Controlの表示

- 3.1.2.4 Fusion Middleware ControlからのIBM WebSphereセルの表示

- 3.1.2.5 Fusion Middleware ControlからのIBM WebSphereサーバーの表示

- 3.1.2.6 Fusion Middleware ControlからのIBM WebSphereアプリケーション・デプロイメントの表示

- 3.1.2.7 セルに対するOracle Fusion Middleware固有の管理タスクの実行

- 3.1.2.8 IBM WebSphereでFusion Middleware Controlを使用した場合の相違

- 3.1.3 Oracle Fusion Middlewareのwsadminコマンドの使用

- 3.1.3.1 Oracle Fusion Middlewareのwsadminコマンドライン・シェルについて

- 3.1.3.2 Oracle Fusion Middlewareのwsadminコマンドライン・シェルの開始およびデプロイメント・マネージャへの接続

- 3.1.3.3 Oracle Fusion Middlewareのwsadminコマンドラインのオンライン・ヘルプの使用

- 3.1.3.3.1 Oracle Fusion Middlewareのwsadminコマンド・カテゴリのリスト

- 3.1.3.3.2 Oracle Fusion Middlewareのwsadminコマンドライン・カテゴリ内のコマンドのリスト

- 3.1.3.3.3 Oracle Fusion Middlewareの特定のwsadminコマンドについてのヘルプの入手

- 3.1.3.4 wsadminコマンドとWebLogic Scripting Tool (WLST)コマンドとの相違

- 3.1.3.5 Oracle Fusion MiddlewareのwsadminコマンドとIBM WebSphereのWsadminコマンドとの相違

- 3.2 IBM WebSphereでの基本的な管理タスク

- 3.2.1 WindowsシステムでのIBM WebSphereディレクトリ・パスの参照

- 3.2.2 IBM WebSphereでのサーバーの起動と停止

- 3.2.2.1 プロファイル・スクリプトを使用したIBM WebSphereサーバーの起動と停止

- 3.2.2.2 Fusion Middleware Controlを使用したIBM WebSphereサーバーの起動と停止

- 3.2.3 IBM WebSphereでのMetadata Services (MDS)の構成

- 3.2.3.1 IBM WebSphereでのMDSコマンドライン機能の相違

- 3.2.3.1.1 IBM WebSphereでのregisterMetadataDBRepository authAliasパラメータの使用

- 3.2.3.1.2 IBM WebSphereでのregisterMetadataDBRepository targetServersパラメータの使用

- 3.2.3.1.3 IBM WebSphereでのregisterMetadaDBRepositoryコマンドの詳細

- 3.2.3.2 IBM WebSphereでMDS Fusion Middleware Controlページを使用した場合の相違

- 3.2.4 IBM WebSphereでのOracle Fusion Middlewareロギングの構成

- 3.2.5 診断フレームワークの設定

- 3.2.6 IBM WebSphereセルでのデータソースの作成

- 3.3 IBM WebSphereでのアプリケーションのデプロイ

- 3.3.1 IBM WebSphereでのOracle Fusion Middlewareアプリケーションのデプロイ準備

- 3.3.2 IBM WebSphereでのOracle Fusion Middlewareアプリケーションのデプロイ方法

- 3.3.3 IBM WebSphereでのMDSデプロイメント・プランのカスタマイズが必要なアプリケーションのデプロイ

- 3.4 IBM WebSphereでのOracle Fusion Middlewareの高可用性の構成

- 3.4.1 IBM WebSphereでのOracle Fusion Middlewareの高可用性の構成に対するドキュメント・リソース

- 3.4.2 IBM WebSphereでのOracle Fusion MiddlewareのJavaオブジェクト・キャッシュの構成

4 IBM WebSphere上でのOracle Identity Managerの管理

- 4.1 このドキュメントで使用される表記法

- 4.2 システム要件と証明済コンポーネント

- 4.3 Oracle Identity Managerの単一ノード用の構成

- 4.3.1 Design Consoleのインストールと構成

- 4.3.2 (オプション)別のシステムへのOracle Identity Managerリモート・マネージャのインストール

- 4.4 IBM WebSphereでのインストール後の構成の実行

- 4.4.1 トランザクション・タイムアウト・プロパティの構成

- 4.4.2 SOAサーバーのデフォルト・コンポジットの更新(クラスタのみ)

- 4.4.3 ダイナミック・モニタリング・サービス・アプリケーションへのアクセス(オプション)

- 4.4.4 LDAPリコンシリエーション・スケジュール済ジョブのデータベース・スキーマへのシード

- 4.4.5 Oracle Identity Managerのメモリー設定の変更

- 4.5 IBM WebSphere上でのOracle Identity Managerのアップグレード

- 4.5.1 アップグレードの前提条件

- 4.5.2 Oracle Identity Managerのインストール

- 4.5.3 Oracle Identity Managerスキーマのアップグレード

- 4.5.4 Oracle Identity Managerの構成

- 4.5.4.1 セルの作成と構成

- 4.5.4.2 手動構成手順の実行

- 4.5.4.3 CSFシードのアップグレード

- 4.5.4.4 Oracle Identity Managerコンポーネントのアップグレード

- 4.5.5 構成後モードでMTアップグレード・ユーティリティを使用したアップグレード機能

- 4.5.6 アップグレード後の構成の実行

- 4.5.6.1 属性を必須としてマークするためのUIのカスタマイズ

- 4.6 IBM WebSphere上でのライフサイクル管理の変更処理

- 4.6.1 Oracle Identity Managerに関連するURL変更

- 4.6.1.1 Oracle Identity Managerデータベースのホストとポートの変更

- 4.6.1.2 Oracle Virtual Directoryのホストとポートの変更

- 4.6.1.3 Oracle Identity Managerのホストとポートの変更

- 4.6.1.3.1 Oracle Identity Manager構成のOimFrontEndURLの変更

- 4.6.1.3.2 Oracle Identity Manager構成のbackOfficeURLの変更

- 4.6.1.4 SOAのホストとポートの変更

- 4.6.1.5 OAMのホストとポートの変更

- 4.6.2 Oracle Identity Managerに関連するパスワード変更

- 4.6.2.1 IBM WebSphere管理パスワードの変更

- 4.6.2.2 Oracle Identity Manager管理者パスワードの変更

- 4.6.2.3 Oracle Identity Managerデータベース・パスワードの変更

- 4.6.2.4 資格証明ストア・フレームワークのOracle Identity Managerパスワードの変更

- 4.6.2.5 OVDパスワードの変更

- 4.6.3 Oracle Identity ManagerのSSLの構成

- 4.6.3.1 Oracle Identity ManagerおよびSOAサーバーのSSLの有効化

- 4.6.3.1.1 Oracle Identity ManagerのSSLの有効化

- 4.6.3.1.2 デフォルト設定を使用したOracle Identity ManagerのSSLの有効化

- 4.6.3.1.3 カスタム・キーストアを使用したOracle Identity ManagerのSSLの有効化

- 4.6.3.1.4 OimFrontEndURLをSSLポートを使用するように変更

- 4.6.3.1.5 SOAサーバーURLをSSLポートを使用するように変更

- 4.6.3.1.6 SSLによるDesign Consoleの保護

- 4.6.3.1.7 Oracle Identity ManagerユーティリティのSSLの構成

- 4.6.3.1.8 MDSユーティリティのSSLの構成

- 4.6.3.2 Oracle Identity Manager DBのSSLの有効化

- 4.6.3.2.1 サーバー認証SSLモードでのDBの設定

- 4.6.3.2.2 キーストアと証明書の作成

- 4.6.3.2.3 Oracle Identity Managerの更新

- 4.6.3.2.4 WebSphereサーバーの更新

- 4.6.3.3 LDAP同期のSSLの有効化

- 4.6.3.3.1 OVD-OIDでのSSLの有効化

- 4.6.3.3.2 Oracle Identity ManagerのOVDホスト/ポートの更新

- 4.6.3.4 SSLによるリモート・マネージャの保護

- 4.6.3.4.1 概要

- 4.6.3.4.2 一方向SSL認証の構成

- 4.6.3.4.3 双方向SSL認証の構成

- 4.7 IBM WebSphere上でのOracle Identity Managerユーティリティの使用

- 4.7.1 IBM WebSphere上でOracle Identity Managerユーティリティを使用するための前提条件

- 4.7.2 Oracle Enterprise Managerを使用したメタデータ・ファイルのMDSデータベースからのエクスポート

- 4.7.3 Oracle Enterprise Managerを使用したメタデータ・ファイルのMDSデータベースへのインポート

- 4.7.4 PurgeCache、UploadJars、DownloadJars、DeleteJars、UploadResourceBundlesおよびDownLoadResourceBundlesユーティリティの使用

- 4.7.5 プラグイン登録および登録解除ユーティリティの使用

- 4.7.6 IBM WebSphere上でのOracle Identity ManagerによるSOAコンポジットの登録

- 4.8 IBM WebSphere上でのアイデンティティ証明の理解

- 4.8.1 アイデンティティ証明の構成

- 4.8.2 マルチフェーズ・レビューと高度な委任機能

- 4.8.2.1 マルチフェーズ・レビュー

- 4.8.2.2 高度な委任機能

- 4.8.3 リスク・サマリーの計算方法の理解

- 4.8.4 証明の作成

- 4.8.4.1 証明のタイプ

- 4.8.4.2 基本選択

- 4.8.4.3 コンテンツ選択

- 4.8.4.4 構成

- 4.8.4.5 レビューア

- 4.8.4.6 増分

- 4.8.4.7 サマリー

- 4.8.5 証明のスケジュール設定

- 4.8.6 クローズド・ループ是正および是正の追跡の理解

- 4.8.7 Excelベースの証明サインオフのためのADFDiプラグインのインストール

- 4.8.8 アイデンティティ証明の前提条件

5 IBM WebSphereでのAccess Managerの管理

- 5.1 デプロイ先がWebLogic Serverの場合とIBM WebSphereの場合のAccess Managerの相違

- 5.2 IBM WebSphereでのOracle Access ManagerのWLSTコマンドの使用

- 5.3 Access Managerで使用できるスレッド数を増やす方法

- 5.4 x509の認証の構成

- 5.4.1 サーバー証明書とトラスト・ストアの作成

- 5.4.2 ストアの構成

- 5.4.3 ユーザー証明書の作成

- 5.4.4 ルートCA証明書のストアへの追加

- 5.4.5 X509認証スキームを使用したリソースの保護

- 5.4.6 X509で保護されたリソースへのアクセス

- 5.5 RSA SecurID認証プラグインのデプロイ

- 5.6 WebSphere上で実行されるAccess ManagerのWindowsネイティブ認証用の構成

- 5.7 IBM WebSphere上でのAccess Managerのテスト環境から本番環境への移行

- 5.7.1 IBM WebSphere上でのAccess Managerの移行の概要

- 5.7.2 制約と制限事項

- 5.7.3 ソース環境からターゲット環境への移行手順の概要

- 5.7.4 前提条件

- 5.7.5 Access Managerのテストから本番への移行

6 IBM WebSphereでのOracle Access Manager IDアサーションの管理

- 6.1 IBM WebSphereでのOAM IDアサーションの概要

- 6.1.1 シナリオ1: IBM WebSphereでIAPを使用するOracle Access Manager 10g (10.1.4.3)

- 6.1.2 シナリオ2: IAPおよびIBM WebSphereを使用するOAM 11g

- 6.2 Oracle Access Manager IAP for IBM WebSphereのコンポーネントのインストール

- 6.3 Oracle Access Manager 10g (10.1.4.3)構成ツールの概要

- 6.4 IBM WebSphereに対するWebGateのプロビジョニングとOAM 10g (10.1.4.3)およびIAPの構成

- 6.5 IAPおよびIBM WebSphereに対するOAM 11gのプロビジョニングおよび構成

- 6.5.1 OAM 11gでのWebGateおよびアクセス・ゲートのプロビジョニングについて

- 6.5.2 IBM WebSphereに対するエージェントのプロビジョニングとOAM 11gポリシーの作成

- 6.6 IHS Web Serverに対する必須WebGateのインストール

- 6.7 IHS Webサーバーの準備

- 6.8 WebGateに対するログイン・フォームの作成

- 6.9 OAM SSOおよびIAPに対するIBM WebSphereの構成

- 6.9.1 IBM WebSphere内のOAMに対するスタンドアロンLDAPレジストリの構成

- 6.9.2 IBM WebSphereでの仮想ホストの追加と構成

- 6.9.3 IBM WebSphereコンソールでのIHSリバース・プロキシの構成

- 6.9.4 IBM WebSphereコンソールでのインターセプタ・エントリの作成

- 6.9.5 OAM TAI構成ファイルの構成

- 6.9.5.1 OAM TAI構成ファイルの構成について

- 6.9.5.2 OAM TAI構成ファイルの構成

- 6.10 OAM IAP for IBM WebSphereに対するSSOログアウトの構成

- 6.10.1 汎用(または非ADF)アプリケーションに対するログアウトの構成

- 6.10.2 ADFコード・アプリケーションに対するログアウトの構成

- 6.10.2.1 ログアウト用のWebGateの構成

- 6.10.2.2 Oracle Access ManagerでのSSOログアウト用のOPSSの構成

- 6.10.2.3 IBM WebSphereクラスパスでのoamAuthenProvider.jarの構成

- 6.10.2.4 SSOログアウトの検証

- 6.11 既知の問題

7 Oracle Access Manager IDアサーションとIBM WebSphereポータルの統合

- 7.1 IBM WebSphereポータルとOracle Access Managerの統合

- 7.2 バージョンおよびプラットフォームのサポート

- 7.3 IBM WebSphereポータルv7.0とOracle Access Managerの統合

- 7.4 IBM WebSphere内のOAMに対するスタンドアロンLDAPレジストリの構成

8 IBM WebSphereでのOracle Adaptive Access Managerの管理

- 8.1 IBM WebSphereでのOracle Adaptive Access Managerアプリケーションのインストールおよび構成

- 8.1.1 サーバーの起動

- 8.1.1.1 デプロイメント・マネージャの起動

- 8.1.1.2 ノードの同期化

- 8.1.1.3 ノードの起動

- 8.1.1.4 OracleAdminServerの起動

- 8.1.1.5 OAAM管理サーバーをホストする管理対象サーバーのスクリプトによる起動

- 8.1.1.6 Oracle Adaptive Access Managerランタイム・サーバーをホストする管理対象サーバーのスクリプトによる起動

- 8.1.2 サーバーの停止

- 8.1.2.1 Fusion Middleware Controlを使用したIBM WebSphereサーバーの停止

- 8.1.2.2 プロファイル・スクリプトを使用したIBM WebSphereサーバーの停止

- 8.1.2.3 OracleAdminServerの停止

- 8.1.2.4 ノードの停止

- 8.1.2.5 デプロイメント・マネージャの停止

- 8.1.3 OAAM管理コンソールへのログイン権限を持つユーザーの作成

- 8.1.4 IBM WebSphere上のOAAMに対するCLI環境の設定

- 8.1.4.1 CLI作業ディレクトリの設定

- 8.1.4.2 環境変数の設定

- 8.1.4.3 資格証明ストア・フレームワーク(CSF)構成の設定

- 8.1.4.3.1 MBeanを含まないCSFを使用したOAAMデータベースの詳細の構成

- 8.1.4.3.2 MBeanを含むCSFを使用したOAAMデータベースの詳細の構成

- 8.1.4.4 OAAMデータベース資格証明の設定

- 8.1.4.5 CLIコマンドの実行

- 8.2 IBM WebSphereでのOAAMのレポートおよび監査の設定

- 8.2.1 RCUによる監査スキーマの作成

- 8.2.2 IBM WebSphere管理コンソールの起動

- 8.2.3 J2C認証データの作成

- 8.2.4 監査イベントのデータ・ソースの作成

- 8.2.5 wsadminスクリプトを使用した監査リポジトリの設定

- 8.2.6 Fusion Middleware Controlでの監査ポリシーの設定

- 8.3 テスト環境から本番環境へのOAAMの移行

- 8.3.1 テスト環境からのスナップショットのエクスポート

- 8.3.2 個別の構成のエクスポート

- 8.3.3 本番環境のバックアップ

- 8.3.4 グループ・メンバーのエクスポート

- 8.3.5 本番環境へのスナップショットのインポート

- 8.3.5.1 ユニバーサル・リスク・スナップショットを使用したスナップショットのインポート

- 8.3.5.2 CLIを使用したスナップショットのインポート

- 8.3.6 本番環境へのグループ・メンバーのインポート

- 8.3.7 本番環境へのJavaクラスのコピー

- 8.3.8 カスタム共有ライブラリの作成

- 8.3.8.1 カスタマイズ済ファイルのコピー

- 8.3.8.2 共有ライブラリの作成

- 8.3.8.3 共有ライブラリ参照のOAAM管理およびOAAMサーバーへの追加

- 8.3.9 KBAおよびOTPロジックとポリシー・オーバーライドの再作成

- 8.3.10 移行が正常に行われたかどうかの検証

- 8.4 Juniper Networks Secure Access (SA)とOAAMの統合

- 8.4.1 Juniper Networks Secure Access (SA)とOAAMの統合ロードマップ

- 8.4.2 IBM WebSphere上のOAAMに対するJuniper統合の前提条件

- 8.4.3 認証プロバイダの構成

- 8.4.4 Oracle Platform Security Services (OPSS)の統合用の構成

- 8.4.5 ノードの同期化とサーバーの再起動

- 8.4.6 OAAM管理コンソールを使用したSAML構成関連サーバー・プロパティのインポート

- 8.4.7 アサーションの署名に対する証明書の設定

- 8.4.7.1 証明書の秘密鍵の作成

- 8.4.7.2 証明書リクエストの作成

- 8.4.7.3 証明書署名リクエスト(CSR)の認証局への送信

- 8.4.7.4 独自の認証局としての行動

- 8.4.7.4.1 前提条件

- 8.4.7.4.2 必要なディレクトリの作成

- 8.4.7.4.3 初期OpenSSL構成

- 8.4.7.4.4 CA証明書と秘密鍵の作成

- 8.4.7.4.5 追加のOpenSSL構成(必須)

- 8.4.7.4.6 証明書リクエストの署名

- 8.4.7.5 証明書を自分のキーストアにインポート

- 8.4.8 OAAM管理コンソールを使用した統合プロパティの変更

- 8.4.9 Juniper Networks Secure Access (SA)の構成

- 8.4.9.1 SAML 1.1認証サーバーの作成

- 8.4.9.2 SAMLのユーザー・レルムの作成

- 8.4.9.3 サインイン・ポリシーの作成

- 8.4.10 統合の検証

- 8.4.11 統合のデバッグ

- 8.4.12 一般的な問題のトラブルシューティング

- 8.5 非同期実行のためのOAAMとJava Message Service Queueの統合

- 8.5.1 非同期統合オプションのインストール

- 8.5.1.1 始める前に

- 8.5.1.2 非同期統合オプション・パッケージの抽出

- 8.5.1.3 JMSリソース

- 8.5.1.4 非同期統合拡張ファイルのデプロイ

- 8.5.1.5 OAAMデータベースの更新

- 8.5.2 JMS統合

- 8.5.2.1 構成

- 8.5.2.2 メッセージ構造

- 8.5.3 エンティティおよびトランザクションのデータベース・ビュー

- 8.5.4 Python式

- 8.5.4.1 前提条件

- 8.5.4.2 Pythonで使用可能なオブジェクト

- 8.5.4.3 例

- 8.6 OAAMサンプル・アプリケーションの設定

- 8.6.1 ネイティブIn-ProcベースのOAAMサンプル・アプリケーションの設定

- 8.6.2 ネイティブSOAPベースのOAAMサンプル・アプリケーションの設定

9 IBM WebSphereでのOracle Fusion Middlewareのセキュリティの管理

- 9.1 IBM WebSphereアイデンティティ・ストア

- 9.1.1 リポジトリの構成

- 9.1.2 レジストリのシード

- 9.2 Trust Association Interceptorの構成

- 9.3 デプロイメントでのポリシーの移行

- 9.3.1 jps.policystore.migration

- 9.3.2 jps.policystore.applicationid

- 9.3.3 jps.policystore.removal

- 9.4 デプロイメントでの資格証明の移行

- 9.4.1 jps.credstore.migration

- 9.5 ポリシーとreassociateSecurityStoreとの再関連付け

- 9.6 デプロイメント・モード

- 9.7 JpsFilterおよびJpsInterceptorの構成

- 9.8 コード・ソースURLでのシステム変数の使用

- 9.9 opss-applicationのサンプル・ファイル

- 9.10 ファイルweb.xmlについて

- 9.11 共通監査フレームワークwsadminコマンドの実行

- 9.12 フェデレーション・イベントの監査の構成

- 9.13 データソースの作成

10 IBM WebSphereでのOracle Entitlements Serverの管理

- 10.1 IBM WebSphereでのOracle Entitlements Serverのインストールの概要

- 10.2 IBM WebSphereでのOracle Entitlements Serverのインストールおよび構成ロードマップ

- 10.3 Oracle Entitlements Server管理サーバーの構成

- 10.3.1 新しいIBM WebSphereセルでのOracle Entitlements Serverの構成

- 10.3.2 Oracle Entitlements Server管理サーバーのセキュリティ・ストアの構成

- 10.3.3 管理サーバーの起動

- 10.3.4 Oracle Entitlements Server管理サーバーの構成の検証

- 10.4 Oracle Entitlements Serverクライアントのインストール

- 10.4.1 前提条件

- 10.4.2 Oracle Entitlements Serverクライアント・ソフトウェアの取得

- 10.4.3 Oracle Entitlements Serverクライアントのインストール

- 10.4.4 パッチの適用

- 10.5 IBM WebSphereセキュリティ・モジュールの構成

- 10.5.1 JRFではない環境でのWebSphereセキュリティ・モジュールの構成

- 10.5.2 JRF環境でのWebSphereセキュリティ・モジュールの構成

- 10.6 IBM WebSphereでのOracle Entitlements Server wsadminコマンドの使用

- 10.7 その他のアプリケーション・サーバーのセキュリティ・モジュールの構成

- 10.8 インストール後のOracle Entitlements Serverのスタート・ガイド

11 IBM WebSphereでのOracle Privileged Account Managerの管理

- 11.1 Oracle Privileged Account ManagerのOracle Fusion Middlewareへのデプロイ方法の相違

- 11.2 Oracle Privileged Account Managerの管理の準備の相違

- 11.2.1 デフォルト・ポート

- 11.2.2 IBM WebSphereでのOracle Privileged Account Managerの開始

- 11.2.2.1 始める前に

- 11.2.2.2 IBM WebSphereでのOracle Privileged Account Managerの構成

- 11.2.2.3 非TDEモードのセットアップ

- 11.3 Oracle Privileged Account Managerの認可の相違

- 11.3.1 管理ロールのタイプ

- 11.4 IBM WebSphereでのOracle Privileged Account Managerサーバーの追加と管理の相違

- 11.5 Oracle Privileged Account Managerの監査およびロギングの管理の相違

- 11.5.1 Oracle Privileged Account Managerの監査の構成

- 11.5.2 Oracle Privileged Account Managerの基本ロギングの構成

- 11.6 IBM WebSphereでのOracle Privileged Account Managerの拡張構成タスクの実行の相違

- 11.6.1 Oracle Privileged Account ManagerをSSL経由でターゲット・システムと通信するように構成する際の違い

- 11.6.2 ディスク上のデータを保護するときの違い

- 11.7 Oracle Identity Managerとの統合時の違い

- 11.8 Oracle Privileged Account Managerコマンドライン・ツールおよびIBM WebSphereのRESTインタフェースの使用時の違い

- 11.9 IBM WebSphereでOracle Privileged Account Managerを使用する際の制限事項と既知の問題

- 11.9.1 制限事項

- 11.9.2 既知の問題

12 IBM WebSphereでのOracle Identity Navigatorの管理

- 12.1 IBM WebSphereでのOracle Identity Navigatorの管理の相違

- 12.1.1 ニュース・フィードにアクセスするためのプロキシの構成

- 12.1.2 シングル・サインオンの構成

- 12.2 IBM WebSphereでOracle Identity Navigatorを使用するうえでの制限事項

13 IBM WebSphereでのOracle Access Management Mobile and Socialの管理

- 13.1 IBM WebSphereでのMobile and Social WLSTコマンドの使用方法

- 13.2 Oracle Adaptive Access Manager用のモバイル・サービスの構成

- 13.2.1 OAAM管理のための管理者の作成

- 13.2.2 OAAMデータ・ソースのターゲットとしてのOracle Access Managementサーバーの追加

- 13.3 インターネット・アイデンティティ・サービスをサポートするためのIBM WebSphereの構成

- 13.3.1 IBMトラスト・ストアへのCA証明書の追加

14 IBM WebSphereでのAccess Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合

- 14.1 IBM WebSphereでのAccess ManagerとOracle Identity Managerの統合

- 14.1.1 統合ロードマップ

- 14.1.2 追加のIHS Webサーバー・リバース・プロキシの構成(オプション)

- 14.1.3 アイデンティティ・ストアの構成

- 14.1.3.1 idmConfigToolの環境変数の設定

- 14.1.3.2 idmConfigToolの実行

- 14.1.3.3 OAM TAI構成ファイルの構成

- 14.1.4 OIMサーバーの再起動

- 14.1.5 OAM 11g SSOエージェント・アーティファクトのコピー

- 14.1.6 WebSphere上のOIMにリクエストをルーティングするようWebサーバーを構成する方法

- 14.2 IBM WebSphereでのAccess ManagerとOAAMの統合

- 14.2.1 OAAMとAccess Managerとの基本統合の構成

- 14.2.1.1 Access ManagerとのOAAMの基本統合の前提条件

- 14.2.1.2 OAAMBasicスキームを使用した認証ポリシーのリソースの保護

- 14.2.1.3 OAAM管理コンソールにログインする権限を持つユーザーの作成

- 14.2.1.4 oam-config.xmlの変更

- 14.2.1.5 OAAM管理サーバーの起動

- 14.2.1.6 OAAMスナップショットのインポート

- 14.2.1.7 OAAM管理サーバーのシャットダウン

- 14.2.1.8 データソースの作成

- 14.2.1.9 共有ライブラリのデプロイ

- 14.2.1.9.1 共有ライブラリの作成

- 14.2.1.9.2 アプリケーションへの共有ライブラリ参照の追加

- 14.2.1.10 ノードの同期およびサーバーの再起動

- 14.2.1.11 構成のテスト

- 14.2.2 Access ManagerとのOAAMの拡張統合の構成

- 14.2.2.1 Access ManagerとのOAAMの拡張統合のロードマップ

- 14.2.2.2 Access ManagerとのOAAMの拡張統合の前提条件

- 14.2.2.3 サーバーの再起動

- 14.2.2.4 ユーザーとグループの作成

- 14.2.2.5 OAAMでのベース・スナップショットのインポート

- 14.2.2.6 Access Managerの初期構成の検証

- 14.2.2.7 Oracle Adaptive Access Managerの初期構成の検証

- 14.2.2.8 Oracle Access Managementコンソールを使用したWebゲートのプロビジョニング

- 14.2.2.8.1 パートナとしてのWebゲートの登録

- 14.2.2.8.2 Access Management 11g SSOエージェント・アーティファクトのコピー

- 14.2.2.8.3 IBM HTTP Serverの起動

- 14.2.2.9 OAAMとの統合用にAccess Managerを設定し、Access ManagerでOAAMをサード・パーティとして登録する手順

- 14.2.2.10 エージェント・パスワードの設定

- 14.2.2.10.1 Oracle Access ManagementコンソールでのIAMSuiteAgentプロファイルへのパスワードの追加

- 14.2.2.11 TAPパートナ登録の検証

- 14.2.2.11.1 チャレンジURLの検証

- 14.2.2.11.2 MatchLDAPAttributeチャレンジ・パラメータのTAPSchemeへの追加

- 14.2.2.11.3 IAMSuiteAgentの設定の検証

- 14.2.2.12 TAP統合用のOAAMの設定

- 14.2.2.13 ポリシーで保護されたリソースのポリシーの認証スキームの更新

- 14.2.2.14 Access ManagerとOracle Adaptive Access Managerの統合の検証

- 14.3 IBM WebSphereでのAccess Manager、OAAMおよびOIMの統合

- 14.3.1 Access Manager、OAAMおよびOIMの統合ロードマップ

- 14.3.2 Access Manager、Oracle Adaptive Access ManagerおよびOIMの統合の前提条件

- 14.3.3 Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerのインストール

- 14.3.4 Access ManagerとOracle Identity Managerの統合

- 14.3.5 Oracle Identity Managerに対するLDAP同期の有効化

- 14.3.6 Access ManagerとOracle Adaptive Access Managerの統合

- 14.3.7 Oracle Identity ManagerとOracle Adaptive Access Managerの統合

- 14.3.7.1 OAAMユーザーおよびグループのOIMコンソールからの追加

- 14.3.7.2 Oracle Adaptive Access Manager用のOracle Identity Managerプロパティの設定

- 14.3.7.3 Oracle Identity ManagerとOAAMの統合を有効化するためのOAAMプロパティの更新

- 14.3.7.4 資格証明ストア・フレームワークでのOracle Identity Manager資格証明の構成

A Fusion Middleware Controlページ参照

- A.1 IBM WebSphereセル・ホームページの情報の理解

- A.2 WebSphereアプリケーション・サーバー・ホームページの情報の理解

- A.3 IBM WebSphereアプリケーション・デプロイメント・ホームページの情報の理解

Oracle® Fusion Middleware

Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイド

11gリリース2 (11.1.2.1.0)

B72797-01(原本部品番号:E28523-02)

2013年3月

Oracle Fusion Middleware Oracle Identity and Access Managementサードパーティ・アプリケーション・サーバー・ガイド, 11g リリース2 (11.1.2.1.0)

B72797-01

Copyright © 2011, 2013 Oracle and/or its affiliates.All rights reserved.

原本著者:  Peter LaQuerre

原本協力著者: Don Biasotti, Barbara Buerkle, Debapriya Datta, Gail Flanegin, Helen Grembowicz, Peter Jew, Mark Kennedy, Kevin Kessler, Liz Lynch, Robert May, Carlos Subi, Len Turmel, Nisha Singh, Priscilla Lee, KC Francis, Gina Cariaga, Michael Teger, Trish Fuzesy, Vinaye Misra, Prakash Hulikere, Showvik Roy Chowdhuri

原本協力者: Mike Blevins, Robert Campbell, Dave Felts, Jeni Ferns, Nick Greenhalgh, Harry Hsu, Hareesh Kolpuru, Vasant Kumar, Dennis Leung, Dan MacKinnon, Mark Miller, Kevin Minder, Vinod Nimmagadda, Vijay Ramanathan, Michael Rubino, Roy Sandjaja, Reza Shafii, Vishal Sharma, Stephen Sherman, Payal Srivastra, Sitaraman Swaminathan, Ken Vincent, Prakash Yamuna, Lisa Zitek-Jones, Ayush Jindal, Lloyd Devraj

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

このソフトウェアまたは関連ドキュメントを、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供する場合は、次の通知が適用されます。

U.S. GOVERNMENT RIGHTS Programs, software, databases, and related documentation and technical data delivered to U.S. Government customers are "commercial computer software" or "commercial technical data" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, the use, duplication, disclosure, modification, and adaptation shall be subject to the restrictions and license terms set forth in the applicable Government contract, and, to the extent applicable by the terms of the Government contract, the additional rights set forth in FAR 52.227-19, Commercial Computer Software License (December 2007).Oracle America, Inc., 500 Oracle Parkway, Redwood City, CA 94065.

このソフトウェアもしくはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアもしくはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用する際、安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

OracleおよびJavaはOracle Corporationおよびその関連企業の登録商標です。その他の名称は、それぞれの所有者の商標または登録商標です。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXは、The Open Groupの登録商標です。

このソフトウェアまたはハードウェア、そしてドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても一切の責任を負いかねます。

はじめに

ここでは、次の項目について説明します。

- 対象読者

- ドキュメントのアクセシビリティについて

- 関連ドキュメント

- 表記規則

対象読者

このマニュアルは、IBM WebSphereなどのサード・パーティ・アプリケーション・サーバーに対するOracle Fusion Middlewareのインストールおよび管理を担当するOracle Fusion Middlewareシステム管理者を対象としています。

ドキュメントのアクセシビリティについて

Oracleのアクセシビリティについての詳細情報は、Oracle Accessibility ProgramのWeb サイト(http://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc)を参照してください。

Oracle Supportへのアクセス

Oracleサポート・サービスでは、My Oracle Supportを通して電子支援サービスを提供しています。詳細情報は(http://www.oracle.com/pls/topic/lookup?ctx=acc&id=info) か、聴覚に障害のあるお客様は (http://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs)を参照してください。

関連ドキュメント

詳細は、Oracle Fusion Middleware 11gドキュメント・ライブラリにある次の関連ドキュメントを参照してください。

- Oracle Fusion Middleware IBM WebSphere Application Server構成ガイド

- Oracle Fusion Middleware Oracle Application Development Framework管理者ガイド

表記規則

このマニュアルでは次の表記規則を使用します。

規則

意味

太字

太字は、操作に関連するGraphical User Interface要素、または本文中で定義されている用語および用語集に記載されている用語を示します。

イタリック体

イタリックは、ユーザーが特定の値を指定するプレースホルダ変数を示します。

固定幅フォント

固定幅フォントは、段落内のコマンド、URL、サンプル内のコード、画面に表示されるテキスト、または入力するテキストを示します。

1 サード・パーティ・アプリケーション・サーバーの概要

この章では、サード・パーティ・アプリケーション・サーバーに対するOracle Identity and Access Management 11gのサポートの概要について説明します。

この章には次の項が含まれます:

- サード・パーティ・アプリケーション・サーバーとは

- サード・パーティ・アプリケーション・サーバーをサポートするOracle Fusion Middlewareのコンポーネント

- Oracle Fusion MiddlewareのIBM WebSphereサポートの概要

- IBM WebSphereでのOracle Identity and Access Management製品の使用に関するドキュメント・リソース

1.1 サード・パーティ・アプリケーション・サーバーとは

サード・パーティ・アプリケーション・サーバーとは、オラクル社以外のベンダーから提供されるアプリケーション・サーバーです。

Oracle WebLogic Serverは、Oracle Fusion Middlewareソフトウェア・コンポーネントのプライマリ・プラットフォームとしてサポートされています。ただし、Oracle Identity and Access Managementなどの特定のOracle Fusion Middlewareコンポーネント・ソフトウェアをOracle WebLogic Server以外のアプリケーション・サーバーで実行する必要のあるお客様に対応するために、このドキュメントで説明するサード・パーティ・アプリケーション・サーバーがサポートされています。

1.2 サード・パーティ・アプリケーション・サーバーをサポートするOracle Fusion Middlewareのコンポーネント

サポートされているサード・パーティ・アプリケーション・サーバーでは、次のOracle Fusion Middlewareのコンポーネントを構成できます。

- Oracle Identity and Access Management

- Oracle SOA Suite

- Oracle WebCenter Portal

- Oracle WebCenter Content

- Oracle Application Development Framework (Oracle ADF)

- Oracle Application Developer Runtime

このOracle Fusion Middleware 11gのリリースについては、これらのOracle Fusion Middleware製品に関してIBM WebSphere Application Serverのみをサード・パーティ・アプリケーション・サーバーとしてサポートしています。

注意:

IBM WebSphere Application Serverをインストールして、Oracle Unified Directoryで使用できるように構成することができます。これは、Oracle Directory Service Managerのグラフィカル・インタフェースを使用してすでにOracle Unified Directoryを管理している場合のみ実行可能です。詳細は、『Oracle Fusion Middleware Oracle Unified Directoryインストレーション・ガイド』のOracle Directory Services Managerに対するIBM WebSphereの構成に関する項を参照してください。

1.3 Oracle Fusion MiddlewareのIBM WebSphereサポートの概要

次の各項では、IBM WebSphereでサポートされるOracle Fusion Middlewareの機能について詳しく説明します。

- サポートされているIBM WebSphere Application Server

- IBM WebSphere Application Server - NDでのOracle Fusion Middlewareのトポロジの理解

1.3.1 サポートされているIBM WebSphere Application Server

Oracleでは、Oracle Identity and Access Managementコンポーネントに対してIBM WebSphere Application Server - Network Deployment (ND)をサポートしています。

Oracle Fusion MiddlewareでサポートされているIBM WebSphere Application Serverに関して最も正確かつ最新の情報については、第2.1項「タスク1: システム要件と動作保証情報の確認」で説明しているOracle Technology Network (OTN)の動作保証情報を参照してください。

1.3.2 IBM WebSphere Application Server - NDでのOracle Fusion Middlewareのトポロジの理解

IBM WebSphere Application Server - NDを使用してOracle Identity and Access Managementのインストールと構成を行う場合、構成プロセスでは、OracleAdminServerというデプロイメント・マネージャのほかに、特殊なサーバーが含まれているIBM WebSphereセルが自動的に作成されます。

このOracleAdminServerには、Java Required Files (JRF)およびOracle Enterprise Managerの製品テンプレートも含めて、Oracle Identity and Access Management製品のキー・インフラストラクチャが組み込まれています。

- JRFテンプレートは重要なOracleライブラリやその他の機能を提供しており、これらによって多くのOracle Identity and Access Management製品とアプリケーションが依存している新規バージョンのAPIがサポートされています。

- Oracle Enterprise ManagerテンプレートにはOracle Enterprise Manager Fusion Middleware Controlが用意されており、これを使用して、インストールおよび構成したOracle Identity and Access Management製品を管理できます。

その他の製品は、新規に作成されたIBM WebSphereセル内の追加サーバーにインストールされます。

Oracle Identity and Access Managementで使用できるようにIBM WebSphereセルを構成する際、セル内に追加のサーバーとクラスタを含めて、Oracle Real Application Cluster (Oracle RAC)データベースが使用できるようにOracle Identity and Access Management製品を構成することもできます。

1.4 IBM WebSphereでのOracle Identity and Access Management製品の使用に関するドキュメント・リソース

IBM WebSphereでのOracle Identity and Access Management製品の実行に関しては、次の追加のドキュメント・リソースを参照できます。

- IBM WebSphereの基本的な概念情報に関してWebSphere Application Server Information Centerで入手可能なIBM WebSphereドキュメント、およびIBM WebSphereのインストールに関する詳細。

- IBM WebSphereに対するOracle Identity and Access Managementのサポートの概要に関するこのドキュメント、IBM WebSphereでのOracle Identity and Access Managementのインストールと構成に必要な全手順のサマリー、およびIBM WebSphereでのOracle Identity and Access Managementのインストールと管理に使用可能な機能の高レベルのリスト。

- Oracle Fusion Middleware構成ウィザードの機能に関する完全な情報を記載した『Oracle Fusion Middleware IBM WebSphere Application Server構成ガイド』。これには、セルの作成と変更、追加サーバーとクラスタのセルへの追加方法、およびOracle Real Application Clusters (Oracle RAC)データベースをサポートするためのOracle Fusion Middleware製品の構成方法についての情報も含まれています。

- このガイドに説明する特定の機能領域の情報に関するOracle Fusion Middlewareドキュメント・ライブラリの特定の項。このドキュメントを確認する際、IBM WebSphereでのOracle Identity and Access Management製品の開発と管理に役立つ特定のOracleドキュメントへのリンクに留意してください。

2 Oracle Identity and Access ManagementのIBM WebSphereでのインストールおよび構成

次の各項では、Oracle Identity and Access ManagementをIBM WebSphereでインストールおよび構成する方法について説明します。

注意:

この章では、Oracle Identity and Access Managementの単一インスタンスをIBM WebSphereでインストールおよび構成する方法の基本情報を示します。IBM WebSphereでの高可用性環境の構成については、この章の内容を確認し、さらに第3.4項「Oracle Fusion Middleware High AvailabilityのIBM WebSphereでの構成」を参照してください。

- タスク1: システム要件と動作保証情報の確認

- タスク2: 必要なソフトウェア・メディアまたはダウンロードの取得

- タスク3: データベースの特定と必要なデータベース・スキーマのインストール

- タスク4: IBM WebSphereソフトウェアのインストール

- タスク5: Oracle SOA Suiteのインストール(Oracle Identity Managerユーザーのみ)

- タスク6: Oracle Identity and Access Management Suiteのインストール

- タスク7: オプション: Oracle Privileged Account Managerデータ・ストアでのTDEの有効化(Oracle Privileged Account Managerユーザーのみ)

- タスク8: 新しいIBM WebSphereセルでのOracle Identity and Access Managementコンポーネントの構成

- タスク9: データベース・セキュリティ・ストアの構成

- タスク10: IBM WebSphereサーバーの起動

- タスク11: IBM WebSphereセルの構成の検証

2.1 タスク1: システム要件と動作保証情報の確認

インストールまたはアップグレードを開始する前に、システム要件ドキュメントで、ご利用環境がインストールする製品の最低インストール要件を満たしていることを確認してください。

システム要件のドキュメントには、ハードウェアとソフトウェアの要件、ディスク領域とメモリーの最小要件、必要なシステム・ライブラリ、パッケージまたはパッチなどの情報が記載されています。

http://www.oracle.com/technetwork/middleware/ias/downloads/fusion-requirements-100147.html

さらに、動作保証情報をお読みください。動作要件のドキュメントには、サポートされているインストール・タイプ、プラットフォーム、オペレーティング・システム、データベース、JDKおよびサードパーティ製品が記載されています。

http://www.oracle.com/technetwork/middleware/ias/downloads/fusion-certification-100350.html

2.2 タスク2: 必要なソフトウェア・メディアまたはダウンロードの取得

このインストールおよび構成手順については、次のソフトウェアを取得する必要があります。

- IBM WebSphere Application Server Network Deployment (ND)
詳細は、第2.4.1項「IBM WebSphereソフトウェアの取得およびインストールに関するIBMオンライン・リソース」を参照してください。

ソフトウェア要件の詳細情報は、第2.1項「タスク1: システム要件と動作保証情報の確認」を参照してください。

- Oracle Database

- Oracle Fusion Middlewareリポジトリ作成ユーティリティ11g リリース2 (11.1.2.0)

- Oracle Identity and Access Management Suite 11g リリース2 (11.1.2.1.0)

- Oracle SOA Suite 11g (11.1.1.6.0)

注意:

Oracle Identity ManagerにはOracle SOA Suiteが必須です。Oracle Identity Managerをインストールしている場合、Oracle SOA Suite 11g (11.1.1.6.0)をインストールする必要があります。

Oracle SOA Suite 11.1.1.6.0をインストールした後で、必須のSOAパッチを適用する必要があります。詳細は、Oracle Identity ManagerのSOAパッチ要件に関する項を参照してください。

ソフトウェアのダウンロード場所の詳細は、Oracle Technology Network (OTN)のOracle Fusion Middlewareのダウンロード、インストールおよび構成のREADMEファイルを参照してください。

http://download.oracle.com/docs/cd/E23104_01/download_readme.htm

2.3 タスク3: データベースの特定と必要なデータベース・スキーマのインストール

次のOracle Fusion Middleware製品では、サポートされているデータベースにインストールする必須スキーマがデータベース・リポジトリに含まれている必要があります。

- Oracle Identity and Access Management Suite

- Oracle SOA Suite

これらの製品を構成するには、まず、サポートされているデータベースに必須スキーマをインストールする必要があります。

データベース内でスキーマを作成または更新するには、リポジトリ作成ユーティリティ(RCU)を使用します。

注意:

ネットワーク待機時間の問題を最小限にとどめるには、すべてのメタデータ・リポジトリを製品と同じサイトのデータベースに置くことをお薦めします。

特定のOracle Fusion Middleware製品に必要なスキーマの確認と、データベース要件およびRCUの実行に関する情報は、『Oracle Fusion Middlewareリポジトリ作成ユーティリティ・ユーザーズ・ガイド』を参照してください。

Oracle Fusion Middlewareでサポートされているデータベースの情報は、第2.1項「タスク1: システム要件と動作保証情報の確認」に説明する動作保証情報を参照してください。

データベース接続情報を、リポジトリ作成ユーティリティを使用して作成したスキーマの名前およびパスワードとともにメモしておきます。これらの情報は、あとでOracle Fusion Middleware製品を構成する際に必要になります。

2.4 タスク4: IBM WebSphereソフトウェアのインストール

Oracle Fusion MiddlewareをIBM WebSphereでインストールおよび構成するには、まず、IBM WebSphere Application Server -Network Deployment (ND)をインストールする必要があります(ただし、構成しません)。

詳細は、次を参照してください。

- IBM WebSphereソフトウェアの取得およびインストールに関するIBMオンライン・リソース

- IBM WebSphere Softwareをインストールする前の重要な考慮点

2.4.1 IBM WebSphereソフトウェアの取得およびインストールに関するIBMオンライン・リソース

詳細は、次のIBMリソースを参照してください。

オラクル社は、次のリンクのコンテンツには責任を有しません。これらの参照は、便宜上提供されているだけです。必ず、IBM WebSphereソフトウェア・ディストリビューションにより提供または参照されるIBMドキュメントを参照してください。

- IBM WebSphereソフトウェアの取得とインストールについては、IBM WebSphereドキュメントを参照してください。詳細は、第1.4項「IBM WebSphereでのOracle Identity and Access Management製品の使用に関するドキュメント・リソース」を参照してください。

- IBM WebSphere 7.0に使用可能な修正パックの詳細は、IBM Support WebサイトのIBM WebSphere Application Server V7.0の修正リストを参照してください。

- 修正パックのインストールには、IBM WebSphere Update Installerを使用します。詳細は、IBM Support WebサイトのMaintenance Download Wizard for WebSphere Application Server V7.0に関する情報を参照してください。

2.4.2 IBM WebSphere Softwareをインストールする前の重要な考慮点

IBM WebSphereをインストールする前に、Oracle Fusion Middleware製品に関する次の要件に留意してください。

- プラットフォームに適切なIBM WebSphereインストーラの使用

- IBM WebSphereのインストール時のサンプル・アプリケーションとデフォルトのプロファイルについて

- WAS_HOMEディレクトリ・パスについて

2.4.2.1 プラットフォームに適切なIBM WebSphereインストーラの使用

Oracle WebLogic Serverと同様、IBM WebSphereは様々なプラットフォームで使用できます。Linux 64ビット・プラットフォームなど、一部のプラットフォームでは固有のIBM WebSphereインストーラが必要です。

IBM WebSphereをインストールする前に、ご使用のプラットフォームに適切なIBM WebSphereインストーラを取得していることを確認してください。

2.4.2.2 IBM WebSphereのインストール時のサンプル・アプリケーションとデフォルトのプロファイルについて

IBM WebSphereのインストール・プロセス中は、サンプル・アプリケーションをインストールしたり、プロファイルを作成することのないようにしてください。

目標は、あとで実行するOracle Fusion Middlewareソフトウェアのインストールに使用可能なディレクトリ内のディスクにIBM WebSphereソフトウェアをインストールすることです。Oracle Fusion Middleware構成ウィザードを使用して、必要なIBM WebSphereプロファイルを構成します。

2.4.2.3 WAS_HOMEディレクトリ・パスについて

IBM WebSphereソフトウェアをインストールする際、このソフトウェアのインストール場所を入力するためのプロンプトが表示されます。このドキュメントでは、この場所をWASホーム、または例の中ではWAS_HOMEとしています。

インストール時に指定されるデフォルト値を受け入れると、次のディレクトリ構造にWAS_HOMEがインストールされます。

DISK/IBM/WebSphere/AppServer

Oracle Fusion Middlewareソフトウェアをインストールする予定の場所と同じところに、IBM WebSphereソフトウェア用にWAS_HOMEを作成します。WAS_HOMEはMW_HOME.と同じレベルに作成する必要があります。

このパスをメモしておきます。Oracle Fusion Middlewareを構成する際、IBM WebSphereディレクトリの場所を特定するように求められます。

2.5 タスク5: Oracle SOA Suiteのインストール(Oracle Identity Managerユーザーのみ)

Oracle Identity Managerをインストールしている場合、Oracle SOA Suite 11g (11.1.1.6.0)をインストールする必要があります。Oracle Identity Managerのみ、Oracle SOA Suiteを必要とします。この手順が必要な理由は、Oracle Identity ManagerはOracle SOA Suiteのプロセス・ワークフローを使用してリクエスト承認を管理するためです。

Oracle SOA Suiteインストーラを次のように実行します。

SOA_Installer_Home/Disk1/runInstaller -jreLoc WAS_HOME/java/jre

Oracle SOA Suiteのインストールの詳細は、『Oracle Fusion Middleware Oracle SOA SuiteおよびOracle Business Process Management Suiteインストレーション・ガイド』を参照してください。

Oracle Identity ManagerのSOAパッチ要件

Oracle SOA Suite 11.1.1.6.0をインストールした後で、必須のSOAパッチを適用してからOracle Identity Managerをインストールする必要があります。パッチの詳細は、11gリリース2 『Oracle Fusion Middlewareリリース・ノート』のOracle Identity Managerのインストールに必要な必須パッチに関する項を参照してください。

2.6 タスク6: Oracle Identity and Access Management Suiteのインストール

IBM WebSphereでのOracle Identity and Access Managementのインストールの詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』を参照してください。

2.6.1 IBM WebSphereでのOracle Identity and Access Managementインストール時の特別な手順

IBM WebSphereでのOracle Fusion Middleware製品のインストール時に適用される次の特別な手順に留意してください。

- Oracle Fusion Middlewareインストーラを実行する場合は、パラメータ-DSHOW_APPSERVER_TYPE_SCREEN=trueを使用して、Oracle Universal InstallerからIBM WebSphereのホームの場所の入力を求めるプロンプトが表示されるようにします。
例:

diskname/iamsuite/Disk1/runInstaller -jreLoc diskname/IBM/WebSphere/AppServer/java/jre -DSHOW_APPSERVER_TYPE_SCREEN=true

- JRE/JDKの場所を指定するように要求されたときに、IBM WebSphereのホームに次のディレクトリを指定します。

(UNIX) WAS_HOME/java
(Windows) WAS_HOME\java

たとえば、UNIXオペレーティング・システムで標準的なIBM WebSphere Application Serverディレクトリにデフォルトの場所を使用している場合は、次のようになります。

diskname/IBM/WebSphere/AppServer/java

- Middlewareのホームの入力を要求された場合は、新しいMiddlewareのホーム・ディレクトリ・パスを入力できます。
Oracle Fusion Middleware製品をOracle WebLogic Serverにインストールする場合は、Middlewareのホームを作成します。これは、Oracle WebLogic ServerがMiddlewareのホームに含まれているためです。

対照的に、Oracle Fusion MiddlewareをIBM WebSphereにインストールする場合は、Oracle Fusion Middlewareソフトウェアのインストール時にMiddlewareのホームを作成します。これは、IBM WebSphereソフトウェアがMiddlewareのホームにインストールされていないためです。これは、別のディレクトリ構造にインストールされています。

- IBM WebSphereをアプリケーション・サーバーとして選択していて、「アプリケーション・サーバーの場所」の入力を求められた場合は、第2.4項「タスク4: IBM WebSphereソフトウェアのインストール」で作成したIBM WebSphereのアプリケーション・サーバー・ディレクトリへのパスを入力します。
例:

diskname/IBM/WebSphere/AppServer/

2.7 タスク7: オプション: Oracle Privileged Account Managerデータ・ストアでのTDEの有効化(Oracle Privileged Account Managerユーザーのみ)

Oracle Privileged Account ManagerはOracle Database TDE(透過的データ暗号化)モードで操作できます。TDEモードを有効または無効にするよう選択できます。セキュリティ強化のために、TDEモードを有効にしておくことを強くお薦めします。

この項の内容は次のとおりです。

- データベースでのTDEの有効化

- OPAMスキーマでの暗号化の有効化

2.7.1 データベースでのTDEの有効化

Oracle Privileged Account Managerのデータベースにおける透過的データ暗号化(TDE)の有効化の詳細は、『Oracle Database Advanced Security管理者ガイド』の透過的データ暗号化の有効化に関する項を参照してください。

詳細は、『Oracle Database Advanced Security管理者ガイド』の透過的データ暗号化を使用した保存済データの保護に関する項を参照してください。

Oracle Privileged Account ManagerのデータベースでTDEを有効にした後で、第2.7.2項「OPAMスキーマでの暗号化の有効化」に説明するように、OPAMスキーマで暗号化を有効にする必要があります。

2.7.2 OPAMスキーマでの暗号化の有効化

OPAMスキーマで暗号化を有効にするには、sqlplusまたは他のクライアントを使用して、opamxencrypt.sqlスクリプトをOPAMスキーマとともに実行します。

IAM_HOME/opam/sql/opamxencrypt.sql

例:

sqlplus DEV_OPAM/welcome1 @IAM_HOME/opam/sql/opamxencrypt.sql

2.8 タスク8: 新しいIBM WebSphereセルでのOracle Identity and Access Managementコンポーネントの構成

Oracle Identity and Access ManagementコンポーネントをIBM WebSphere環境で構成するには、IBM WebSphereバージョンのOracle Fusion Middleware構成ウィザードを使用します。

この項の内容は次のとおりです。

- IBM WebSphereでの構成ウィザードの使用方法に関する一般情報

- 単一ノードの設定に対応するOracle Identity and Access Managementコンポーネントの構成

2.8.1 IBM WebSphereでの構成ウィザードの使用方法に関する一般情報

構成ウィザードを使用する際、次の情報に留意してください。

- 「セル、プロファイルおよびノード名情報の指定」画面で入力した値をメモしておきます。これらの値は、あとでセルを開始したり管理したりする際に必要になります。特に、「デプロイメント・マネージャ・プロファイル名」フィールドと「アプリケーション・サーバー・プロファイル名」フィールドに入力した値をメモしておきます。

- 「セルへの製品追加」画面が表示されたら、次を参照します。
各テンプレートを選択する際にどの機能が構成されるかについて質問がある場合は、『Oracle Fusion Middlewareドメイン・テンプレート・リファレンス』のFusion Middleware製品のテンプレートに関する項。

- データベース・スキーマを必要とする製品を選択した場合は、必要なスキーマごとにデータベース接続情報を入力するよう要求されます。この画面に入力するには、第2.3項「タスク3: データベースの特定と必要なデータベース・スキーマのインストール」でメモしたデータベースおよびスキーマ情報を使用します。

- 拡張オプションの入力が求められた場合は、「次」をクリックしてデフォルト設定を使用できます。デフォルト設定を使用して構成されるトポロジの詳細は、第1.3.2項「IBM WebSphere Application Server - NDでのOracle Fusion Middlewareのトポロジの理解」を参照してください。
デフォルト設定を変更する場合は(たとえば、セル内の別のサーバーに製品をターゲット設定する場合など)、『Oracle Fusion Middleware IBM WebSphere Application Server構成ガイド』を参照してください。

2.8.2 単一ノードの設定に対応するOracle Identity and Access Managementコンポーネントの構成

この項では、構成ウィザードを使用して、単純なIBM WebSphereセルにOracle Identity and Access Management製品を構成する方法について説明します。サーバーおよびクラスタのセルへの追加に関する情報も含めた、Oracle Fusion Middleware構成ウィザードの使用方法の詳細は、『Oracle Fusion Middleware IBM WebSphere Application Server構成ガイド』を参照してください。

注意:

ここに示す手順は、構成ウィザードを使用してコンポーネントを構成する方法を説明しています。しかし、WebSphere wsadminコマンドライン・ユーティリティを使用してOracle Fusion Middlewareコンポーネントを構成することもできます。

- wsadminコマンドライン・ユーティリティの使用方法の詳細は、第3.1.3項「Oracle Fusion Middleware wsadminコマンドの使用方法」を参照してください。

- wsadminを使用したコンポーネントの構成方法の詳細は、『Oracle Fusion Middleware IBM WebSphere Application Server構成ガイド』のwsadminを使用したOracle Fusion Middlewareの構成に関する項を参照してください。

新しいIBM WebSphereセルにOracle Identity and Access Management製品を構成するには、次の手順を完了します。

1. Oracle Identity and Access Managementのホームから次のコマンドを実行して、Oracle Fusion Middleware構成ウィザードを起動します。

(UNIX) ORACLE_HOME/common/bin/was_config.sh
(Windows) ORACLE_HOME\common\bin\was_config.cmd

2. 「構成オプションの選択」画面で、「セルの作成と構成」を選択します。次に、「次へ」をクリックします。

3. 「セル、プロファイルおよびノード名情報の指定」画面で、デフォルトの名前または新しい名前を指定します。デフォルトの名前は次のとおりです。
セル名: hostCell01

デプロイメント・マネージャ・プロファイル名: Dmgr01

デプロイメント・マネージャ・ノード名: hostCellManager01

アプリケーション・サーバー・プロファイル名: Custom01

アプリケーション・サーバー・ノード名: hostNode01

4. 「デプロイメント・マネージャ情報の指定」画面で、WebSphere Administrationのユーザー名とパスワードを入力します。ここで指定したWebSphere Administrationのユーザー名とパスワードは、コンソールへのログインと、あとで実行する構成手順で使用されます。「次へ」をクリックします。

5. 「セルへの製品追加」画面で、構成するコンポーネントに基づいて必要なテンプレートを選択します。表2-1に、Oracle Identity and Access Managementのテンプレートの名前と依存性を示します。

表2-1 Oracle Identity and Access Management製品のテンプレート

テンプレート名

依存性

Oracle Identity Manager for Webpshere ND - 11.1.2.0.0 [Oracle_IDM1]

- Oracle SOA suite for WebSphere ND - 11.1.1.0 [Oracle_SOA1]

- Oracle Enterprise Manager for WebSphere - 11.1.1.0 [oracle_common]

- Oracle Workflow Client Extension - 11.1.1.0 [Oracle_SOA1]

- Oracle WSM Policy Manager - 11.1.1.0 [oracle_common]

- Oracle JRF Webservices Asynchronous services - 11.1.1.0 [oracle_common]

- Oracle Platform Security Service - 11.1.1.0 [Oracle_IDM1]

- Oracle JRF for WebSphere - 11.1.1.0 [oracle_common]

Oracle Access Management - 11.1.2.0.0 [Oracle_IDM1]

- Oracle Platform Security Service - 11.1.1.0 [Oracle_IDM1]

- Oracle JRF for WebSphere - 11.1.1.0 [oracle_common]

Oracle Adaptive Access Manager Admin Server - 11.1.2.0.0 [Oracle_IDM1]

さらに、次を選択できます。

- Oracle Adaptive Access Manager Offline - 11.1.2.0.0 [Oracle_IDM1]

- Oracle Adaptive Access Manager - Server - 11.1.2.0.0 [Oracle_IDM1]

- Oracle Enterprise Manager for WebSphere - 11.1.1.0 [oracle_common]

- Oracle Platform Security Service - 11.1.1.0 [Oracle_IDM1]

- Oracle JRF for WebSphere - 11.1.1.0 [oracle_common]

「Oracle Adaptive Access Manager - Server - 11.1.2.0.0 [Oracle_IDM1]」オプションを選択した場合は、前述のテンプレートに加えて、Oracle WSM Policy Manager - 11.1.1.0 [oracle_common]もデフォルトにより選択されます。

Oracle Entitlements Serverの場合は、次のテンプレートが使用できます。

- Oracle Entitlements Server for Admin Server- 11.1.1.0 [Oracle_IDM1]

- Oracle Entitlements Server for Managed Server- 11.1.1.0 [Oracle_IDM1]

- Oracle Platform Security Service - 11.1.1.0 [Oracle_IDM1]

- Oracle JRF for WebSphere - 11.1.1.0 [oracle_common]

Oracle Privileged Account Managerの場合は、次のテンプレートが使用できます。

- Oracle Privileged Account Manager (Form auth-mode OINAV) - 11.1.2.1.0 [Oracle_IDM1]

- Oracle Privileged Account Manager (Client-Cert auth-mode OINAV) - 11.1.2.1.0 [Oracle_IDM1]

「Oracle Privileged Account Manager (Form auth-mode OINAV) - 11.1.2.1.0 [Oracle_IDM1]」オプションを選択した場合は、デフォルトにより次のオプションも選択されます。

- Oracle Identity Navigator (Form auth-mode) - 11.1.2.1.0 [Oracle_IDM1]

- Oracle Platform Security Service - 11.1.1.0 [Oracle_IDM1]

- Oracle JRF for WebSphere - 11.1.1.0 [oracle_common]

「Oracle Privileged Account Manager (Client-Cert auth-mode OINAV) - 11.1.2.1.0 [Oracle_IDM1]」オプションを選択した場合は、デフォルトにより次のオプションも選択されます。

- Oracle Identity Navigator (Client-Cert auth-mode) - 11.1.2.1.0 [Oracle_IDM1]

- Oracle Platform Security Service - 11.1.1.0 [Oracle_IDM1]

- Oracle JRF for WebSphere - 11.1.1.0 [oracle_common]

Oracle Identity Navigatorの場合は、次のテンプレートが使用できます。

- Oracle Identity Navigator (Form auth-mode) - 11.1.2.1.0 [Oracle_IDM1]

- Oracle Identity Navigator (Client-Cert auth-mode) - 11.1.2.1.0 [Oracle_IDM1]

- Oracle Platform Security Service - 11.1.1.0 [Oracle_IDM1]

- Oracle JRF for WebSphere - 11.1.1.0 [oracle_common]

必要なテンプレートを選択して、「次へ」をクリックします。

6. 「JDBCコンポーネント・スキーマの構成」画面では、変更する必須コンポーネント・スキーマを選択できます。
スキーマ所有者、スキーマ・パスワード、データベースとサービス、ホスト名およびポートの値を設定できます。「次へ」をクリックします。JDBCコンポーネント・スキーマのテスト画面が表示されます。テストが成功したら、「次へ」をクリックします。「オプションの構成を選択」画面が表示されます。

注意:

「JDBCコンポーネント・スキーマのテスト」画面でOracle Identity Managerのスキーマ・テスト接続が失敗した場合、エラー・メッセージを無視して続行してください。

7. 「オプションの構成を選択」画面では、次の構成を実行できます。

- アプリケーション・サーバー、クラスタおよびエンド・ポイント

- デプロイメントとサービス

- JDBC

目的のオプションを選択して、「次へ」をクリックします。

注意:

手順8 - 11は、「オプションの構成を選択」画面で選択したオプションに基づいて表示されます。

8. オプションの手順: アプリケーション・サーバーのパラメータを構成します。

9. オプションの手順: 必要に応じてクラスタを構成します。

10. オプションの手順: 必要に応じてエンド・ポイントを構成します。

11. オプションの手順: アプリケーションおよびライブラリなどのデプロイメントおよびサービスを選択し、特定のクラスタまたはサーバーにターゲット指定します。

12. 「構成のサマリー」画面で、デプロイメント、アプリケーションおよびサービスの構成のサマリーを確認できます。構成サマリーを確認し、「作成」をクリックして新しいIBM WebSphereセルを構成します。

新しいIBM WebSphereセルがWAS_HOME\profiles\Dmgr01\config\cellsディレクトリ(Windowsの場合)に作成されます。UNIXでは、このセルはWAS_HOME/profiles/Dmgr01/config/cellsディレクトリに作成されます。

注意:

Oracle Identity Managerを構成している場合、Oracle Identity Manager Server、Oracle Identity Manager Design ConsoleおよびOracle Identity Manager Remote Managerを構成するために、WebSphereセルの構成後にOracle Universal Installer Configuration Assistantを実行する必要があります。詳細は、第4.3「単一ノードの設定に対するOracle Identity Managerの構成」を参照してください。

2.9 タスク9: データベース・セキュリティ・ストアの構成

configureSecurityStoreWas.pyスクリプトを実行して、データベース・セキュリティ・ストアを構成する必要があります。configureSecurityStoreWas.pyスクリプトは、IAM_HOME/common/binディレクトリに置かれています。スクリプトの使用方法のヘルプ情報は、-hを使用して参照できます。

ポリシーの再アソシエーションでは、OPSSセキュリティ・ストアがソースからターゲットのLDAPベース・ストアまたはDBベース・ストアに移行され、デフォルトのポリシー・サービスおよび資格証明サービスがターゲット・リポジトリにリセットされます。

1. IBM WebSphereに対してポリシーの再アソシエーションを変更するには、次の手順を実行します。

1. IAM_HOME/common/binディレクトリに移動します。

2. 次のWSADMINコマンドを実行して、ポリシーの再アソシエーションをオフラインで実行します。
UNIXの場合:

./wsadmin.sh -lang jython -profileName DEPLOYMENT_MANAGER_PROFILE_NAME -f IAM_HOME/common/tools/configureSecurityStoreWas.py -d PATH_TO_DEPLOYMENT_MANAGER_CELL_DIRECTORY -t DB_ORACLE -j cn=jpsroot -m create --passcode OPSS_SCHEMA_PASSWORD --config IAM

例:

./wsadmin.sh -lang jython -profileName Dmgr01 -f IAM_HOME/common/tools/configureSecurityStoreWas.py -d IAM_HOME/was/install/was6076/profiles/Dmgr01/config/cells/DefaultCell01 -t DB_ORACLE -j cn=jpsroot -m create --passcode opsschemapassword --config IAM

Windowsの場合:

wsadmin.bat -lang jython -profileName DEPLOYMENT_MANAGER_PROFILE_NAME -f IAM_HOME\common\tools\configureSecurityStoreWas.py -d PATH_TO_DEPLOYMENT_MANAGER_CELL_DIRECTORY -t DB_ORACLE -j cn=jpsroot -m create --passcode OPSS_SCHEMA_PASSWORD --config IAM

例:

wsadmin.bat -lang jython -profileName Dmgr01 -f IAM_HOME\common\tools\configureSecurityStoreWas.py -d IAM_HOME\was\install\was6076\profiles\Dmgr01\config\cells\DefaultCell01 -t DB_ORACLE -j cn=jpsroot -m create --passcode opsschemapassword --config IAM

生成された出力を確認し、ポリシーの再アソシエーション中にエラーが報告されていないことを検証します。

2. ポリシーの再アソシエーションを検証するには、次の手順を実行します。

1. Oracle Identity System Administrationにログインします。ログインが正常に行われている必要があります。

2. WAS管理コンソールにログインします。ログインが正常に行われている必要があります。

3. Oracle Enterprise Managerにログインし、「WebSphereセル」→「セキュリティ」→「セキュリティ・プロバイダ構成」の順に移動します。「ストア・タイプ」がjdbc/OPSSDBDS jndiをポイントしている「Oracle Database」であることを検証します。

4. また、次のWSADMINコマンドを実行してポリシーの再アソシエーションを検証することもできます。
UNIXの場合:

./wsadmin.sh -lang jython -profileName DEPLOYMENT_MANAGER_PROFILE_NAME -f IAM_HOME/common/tools/configureSecurityStoreWas.py -d PATH_TO_DEPLOYMENT_MANAGER_CELL_DIRECTORY -t DB_ORACLE -j cn=jpsroot -m validate --passcode OPSS_SCHEMA_PASSWORD

例:

./wsadmin.sh -lang jython -profileName Dmgr01 -f IAM_HOME/common/tools/configureSecurityStoreWas.py -d IAM_HOME/was/install/was6076/profiles/Dmgr01/config/cells/DefaultCell01 -t DB_ORACLE -j cn=jpsroot -m validate --passcode opsschemapassword

Windowsの場合:

wsadmin.bat -lang jython -profileName DEPLOYMENT_MANAGER_PROFILE_NAME -f IAM_HOME\common\tools\configureSecurityStoreWas.py -d PATH_TO_DEPLOYMENT_MANAGER_CELL_DIRECTORY -t DB_ORACLE -j cn=jpsroot -m validate --passcode OPSS_SCHEMA_PASSWORD

例:

wsadmin.bat -lang jython -profileName Dmgr01 -f IAM_HOME\common\tools\configureSecurityStoreWas.py -d IAM_HOME\was\install\was6076\profiles\Dmgr01\config\cells\DefaultCell01 -t DB_ORACLE -j cn=jpsroot -m validate --passcode opsschemapassword

3. ノードを停止します。
IBM WebSphereのホームで次のディレクトリに移動して、次のコマンドを入力します。

(UNIX) profiles/Server_profileName/bin/stopNode.sh
(Windows) profiles\Server_profileName\bin\stopNode.bat

たとえば、UNIXオペレーティング・システムでは次のようになります。

/disk01/IBM/WebSphere/AppServer/profiles
/Custom01/bin/stopNode.sh

2.10 タスク10: IBM WebSphereサーバーの起動

Oracle Fusion Middlewareソフトウェアが正常に構成された後は、IBM WebSphereのデプロイメント・マネージャ、ノード、およびサーバーを起動できます。

次の手順は、デプロイメント・マネージャ、ノード、サーバーをセルで起動するために必要な順序を示しています。

次の例では、デプロイメント・マネージャの名前とプロファイル名を第2.8項「タスク8: 新しいIBM WebSphereセルでのOracle Identity and Access Managementコンポーネントの構成」で構成ウィザードに入力した値に置き換えてください。

1. デプロイメント・マネージャを起動します。
IBM WebSphereのホームで次のディレクトリに移動して、次のコマンドを入力します。

(UNIX) profiles/dmgr_profileName/bin/startManager.sh
(Windows) profiles\dmgr_profileName\bin\startManager.bat

たとえば、UNIXオペレーティング・システムでは次のようになります。

/disk01/IBM/WebSphere/AppServer/profiles
/Dmgr01/bin/startManager.sh

注意:

startManager.sh(またはstartManager.bat)コマンドをWAS_HOME/binディレクトリから実行している場合は、パラメータ-profileNameを指定する必要があります。

たとえば、UNIXオペレーティング・システムでは次のようになります。

WAS_HOME/bin/startManager.sh -profileName dmgr_profileName

アイデンティティ・ストアの構成

IBM WebSphereでは、Oracle Platform Security ServicesはLDAPベースのレジストリのみをサポートしています。WebSphereの組込みファイル・ベースのレジストリはサポートしていません。

後述の手順を実行して、Oracle Platform Security ServicesのOIDストアを構成する必要があります。

注意:

後述のアイデンティティ・ストアの構成手順は、1回だけ実行してください。

この項に示す手順は、Oracle Access ManagerとOracle Identity Managerを同じWebSphereセルで統合する場合に必要です。

1. cd <oracle_common>/common/bin

2. 次のwsadminコマンドを実行します。
./wsadmin.sh -conntype SOAP -port <port_number> -user <username> -password <passwd>

ポートの詳細は$WAS_HOME/profiles/Dmgr01/logs/AboutThisProfile.txtファイルにあります。

WASセルの設定時に指定したものと同じ資格証明を使用する必要があります。

3. Opss.configureIdentityStore(propsFileLoc="<location of properties file>")
次に、サンプルのプロパティ・ファイルを示します。

user.search.bases=cn=Users,dc=myhost,dc=mycompany,dc=com
group.search.bases=cn=Groups,dc=myhost,dc=mycompany,dc=com
subscriber.name=dc=myhost,dc=mycompany,dc=com
ldap.host=ldaphost.mycompany.com
ldap.port=3333
# admin.id must be the full DN of the user in the LDAP
admin.id=cn=orcladmin,cn=Users,dc=myhost,dc=mycompany,dc=com
admin.pass=welcome1
user.filter=(&(uid=%v)(objectclass=person))
group.filter=(&(cn=%v)(objectclass=groupofuniquenames))
user.id.map=*:uid
group.id.map=*:cn
group.member.id.map=groupofuniquenames:uniquemember
ssl=false
# primary.admin.id indicates a user who has admin permissions in the LDAP, must be the name of the user, for example, for user "cn=tom", the primary.admin.id is "tom"
primary.admin.id=orcladmin
# optional, default to "OID"
idstore.type=OID
# Optional properties for JPS LDAP identity store can also be configured in the file.
username.attr=cn
user.object.classes=person

注意:

Oracle Privileged Account Managerユーザーの場合は、手順(d)をスキップして、第11.2.2項「IBM WebSphereでのOracle Privileged Account Managerの起動」で説明する手順で続行する必要があります。

4. デプロイメント・マネージャを停止してから再起動します。デプロイメント・マネージャの停止時には、WASセルの設定に使用した資格証明を使用します。サーバーの再起動時には、プロパティ・ファイルのprimary.admin.idで説明したOID資格証明を使用します。

2. ノードを同期化します。
IBM WebSphereのホームで次のディレクトリに移動して、次のコマンドを入力します。

(UNIX) profiles/Server_profile_name/bin/syncNode.sh host_name SOAP_Port -username admin_user -password admin_password
(Windows) profiles\Server_profile_name\bin\syncNode.cmd host_name SOAP_Port -username admin_user -password admin_password

たとえば、UNIXオペレーティング・システムでは次のようになります。

/disk01/IBM/WebSphere/AppServer/profiles/Custom01/bin/syncNode.sh myhost.mycompany.com 8879 -username wasadmin -password welcome1

3. ノードを起動します。
IBM WebSphereのホームで次のディレクトリに移動して、次のコマンドを入力します。

(UNIX) profiles/Server_profile_name/bin/startNode.sh
(Windows) profiles\Server_profile_name\bin\startNode.bat

たとえば、UNIXオペレーティング・システムでは次のようになります。

/disk01/IBM/WebSphere/AppServer/profiles/Custom01/bin/startNode.sh

注意:

startNode.sh(またはstartNode.bat)コマンドをWAS_HOME/binディレクトリから実行している場合は、パラメータ-profileNameを指定する必要があります。

たとえば、UNIXオペレーティング・システムでは次のようになります。

WAS_HOME/bin/startNode.sh -profileName Server_profileName

4. OracleAdminServerサーバーを起動します。
IBM WebSphereのホームで次のディレクトリに移動して、次のコマンドを入力します。

(UNIX) profiles/Server_profile_name/bin/startServer.sh OracleAdminServer
(Windows) profiles\Server_profile_name\bin\startServer.bat OracleAdminServer

たとえば、UNIXオペレーティング・システムでは次のようになります。

/disk01/IBM/WebSphere/AppServer/profiles/Custom01/bin/startServer.sh
OracleAdminServer

注意:

startServer.sh(またはstartServer.bat)コマンドをWAS_HOME/binディレクトリから実行している場合は、パラメータ-profileNameを指定する必要があります。

たとえば、UNIXオペレーティング・システムでは次のようになります。

WAS_HOME/bin/startServer.sh OracleAdminServer -profileName Server_profileName

5. IBM WebSphereセルの一部として構成された追加のサーバーをすべて起動します。
OracleAdminServerの起動後には、IBM WebSphere Administrative ConsoleまたはOracle Enterprise Manager Fusion Middleware Controlを使用してその他のサーバーを起動できます。詳細は、第3.1項「IBM WebSphereのOracle Fusion Middleware管理ツールのサマリー」を参照してください。

または、次のようにstartServerスクリプトを使用できます。

IBM WebSphereのホームで次のディレクトリに移動して、次のコマンドを入力します。

(UNIX) profiles/Server_profile_name/bin/startServer.sh server_name
(Windows) profiles\Server_profile_name\bin\startServer.bat server_name

たとえば、UNIXオペレーティング・システムでは、Oracle Access Managerセルの場合は次のようになります。

/disk01/IBM/WebSphere/AppServer/profiles
/Custom01/bin/startServer.sh oam_server1

注意:

startServer.sh(またはstartServer.bat)コマンドをWAS_HOME/binディレクトリから実行している場合は、パラメータ-profileNameを指定する必要があります。

たとえば、UNIXオペレーティング・システムでは次のようになります。

WAS_HOME/bin/startServer.sh server_name -profileName Server_profileName

Oracle Fusion Middlewareのコンポーネント別に構成されている標準のサーバーを表2-2に示します。

表2-2 IBM WebSphereセルにおける標準的なOracle Fusion Middlewareコンポーネント別の管理対象サーバー

コンポーネント

標準的な管理対象サーバー

Oracle SOA Suite

soa_server1, oam_server1

Oracle Identity and Access Management Suite

oam_server1, oim_server1, opam_server1

2.11 タスク11: IBM WebSphereセルの構成の検証

インストールを検証するには、IBM WebSphere Administration ConsoleおよびOracle Enterprise Manager Fusion Middleware Controlを使用して、管理ツールが稼働していて、サーバーが起動して実行中であることを確認します。

これらのWebベースの管理ツールのURLの特定に関する詳細は、第3.1項「IBM WebSphereのOracle Fusion Middleware管理ツールのサマリー」を参照してください。

注意:

Oracle Identity and Access Management製品の管理方法の詳細は、このガイドでコンポーネント別の章を参照してください。

Oracle Access Managementユーザーに対する特別な指示

デフォルトでは、Oracle Access Management管理コンソールはOracleAdminServerにデプロイされ、Oracle Access Management Runtimeはoam_server1にデプロイされます。

次のURLを使用してOracle Access Managementコンソールにアクセスできます。

http://WAS_HOST:OAM_AdminServer_Port/oamconsole

3 IBM WebSphereでのOracle Identity and Access Managementの管理

この章では、IBM WebSphereでのOracle Identity and Access Managementの管理の基本情報について説明します。この章は、次の項で構成されています。

- IBM WebSphereでのOracle Fusion Middleware管理ツールの概要

- IBM WebSphereでの基本的な管理タスク

- IBM WebSphereでのアプリケーションのデプロイ

- IBM WebSphereでのOracle Fusion Middlewareの高可用性の構成

3.1 IBM WebSphereでのOracle Fusion Middleware管理ツールの概要

IBM WebSphereでのOracle Identity and Access Managementのインストールおよび構成後、複数の管理ツールの1つを使用して、構成を検証したり、Oracle Identity and Access Managementのインストール済環境のコンポーネントを監視および管理できます。

次の各項では、管理ツールについて説明します。

- WebSphere管理コンソールの使用

- Oracle Enterprise Manager Fusion Middleware Controlの使用

- Oracle Fusion Middlewareのwsadminコマンドの使用

3.1.1 WebSphere管理コンソールの使用

この項の内容は、次のとおりです。

- IBM WebSphere管理コンソールについて

- IBM WebSphere管理コンソールのポート番号およびURLの検索

3.1.1.1 IBM WebSphere管理コンソールについて

IBM WebSphere管理コンソール(別名IBM WebSphere Integrated Solutions Console)は、IBM WebSphere環境を管理するWebベースのインタフェースを提供します。

IBM WebSphere管理コンソールを使用して、Oracle Identity and Access Management製品がデプロイされたセルやサーバーを監視および管理できます。

IBM WebSphere管理コンソールの詳細は、IBM WebSphereのドキュメントおよびコンソールに関するオンライン・ヘルプを参照してください。

3.1.1.2 IBM WebSphere管理コンソールのポート番号およびURLの検索

IBM WebSphere管理コンソールを表示する前に、実行中のポート番号を特定する必要があります。

IBM WebSphere管理コンソールのポート番号およびURLを検索するには:

1. テキスト・エディタで、次のプロパティ・ファイルを開きます。

WAS_HOME/profiles/deployment_mgr_name/properties/portdef.props

2. WC_Adminhostプロパティの値を検索します。

3. ブラウザを開いて、次のURLを入力します。

http://hostname:WC_Adminhost_port/ibm/console

例:

http://host42.example.com:9002/ibm/console

3.1.2 Oracle Enterprise Manager Fusion Middleware Controlの使用

この項の内容は、次のとおりです。

- Oracle Enterprise Manager Fusion Middleware Controlについて

- Fusion Middleware Controlのポート番号およびURLの検索

- Fusion Middleware Controlの表示

- Fusion Middleware ControlからのIBM WebSphereセルの表示

- Fusion Middleware ControlからのIBM WebSphereサーバーの表示

- Fusion Middleware ControlからのIBM WebSphereアプリケーション・デプロイメントの表示

- セルに対するOracle Fusion Middleware固有の管理タスクの実行

- IBM WebSphereでFusion Middleware Controlを使用した場合の相違

3.1.2.1 Oracle Enterprise Manager Fusion Middleware Controlについて

Oracle Enterprise Manager Fusion Middleware Controlは、Webブラウザ・ベースのグラフィカル・ユーザー・インタフェースで、Oracle Fusion Middlewareを監視および管理するために使用できます。

Fusion Middleware Controlでは、セル、サーバー、コンポーネントおよびアプリケーションについて、幅広いパフォーマンス・データと管理機能がWebベースの個別のホームページにまとめられています。Fusion Middleware Controlホーム・ページでは、最も重要な監視データや最もよく使用する管理機能をWebブラウザから簡単に探すことができます。

詳細は、『Oracle Fusion Middleware管理者ガイド』のOracle Enterprise Manager Fusion Middleware Controlの使用に関する項を参照してください。

『Oracle Fusion Middleware管理者ガイド』での説明は、Oracle WebLogicサーバーでのFusion Middleware Controlの使用に特有のものであることに注意してください。詳細は、第3.1.2.8項「IBM WebSphereでFusion Middleware Controlを使用した場合の相違」を参照してください。

3.1.2.2 Fusion Middleware Controlのポート番号およびURLの検索

Fusion Middleware Controlのポート番号を検索するには:

1. ご使用のWebブラウザを使用して、IBM WebSphere管理コンソールを開きます。

2. ナビゲーション・パネルで、「Servers」→「Server Types」→「WebSphere application servers」の順に選択します。

3. 「OracleAdminServer」をクリックして、サーバーの構成プロパティを表示します。

4. 結果ページの「Communications」セクションで、「Ports」を開いて、OracleAdminServerの重要なポート値をリストします。

5. WC_Defaulthostポートの値を検索します。

3.1.2.3 Fusion Middleware Controlの表示

Fusion Middleware Controlを表示するには、Webブラウザ・ウィンドウまたはタブを新規作成して、次のURLを入力します。

http://hostname:WC_Defaulthost_port/em

例:

http://host42.example.com:9002/em

IBM WebSphere管理コンソールにログインした際と同じ管理資格証明を使用して、Fusion Middleware Controlにログインします。

3.1.2.4 Fusion Middleware ControlからのIBM WebSphereセルの表示

IBM WebSphereセルの一環としてインストールし構成したOracle Fusion Middleware製品は、Fusion Middleware Controlから管理できます。

Fusion Middleware Controlへの最初のログイン時に、IBM WebSphereセルのホームページが表示されます(図3-1)。このページから、セルに関連付けられたサーバー、アプリケーションおよびクラスタを表示できます。

また、インストールおよび構成が完了したOracle Identity and Access Managementコンポーネントの管理ページに移動することもできます。

Oracle Enterprise Manager Fusion Middleware Control内での移動方法の詳細は、『Oracle Fusion Middleware管理者ガイド』のFusion Middleware Control内での移動に関する項を参照してください。

Oracle Fusion Middleware管理機能は、「WebSphereセル」メニューから実行できます。メニュー・コマンドに関するヘルプについては、コマンドを選択後、結果ページの「ヘルプ」メニューから「Enterprise Managerヘルプ」を選択してください。

図3-1 Fusion Middleware ControlからのIBM WebSphereセルの表示

「図3-1 Fusion Middleware ControlからのIBM WebSphereセルの表示」の説明

3.1.2.5 Fusion Middleware ControlからのIBM WebSphereサーバーの表示

IBM WebSphereセルの各サーバーは、Fusion Middleware Controlに独自のホームページがあります。

特定のサーバーのホームページを表示するには:

1. Fusion Middleware Controlのターゲット・ナビゲーション・ペインで、「WebSphereセル」フォルダを展開します。

2. セル名を展開して、サーバー名をクリックします。

WebSphere Application Serverのホームページからは、サーバーに関する一般情報の表示、IBM WebSphere管理コンソールの表示、サーバーにデプロイされたアプリケーションのステータスの表示などが可能です。

IBM WebSphere Application Serverのホームページで入手できる機能やオプションの説明の詳細は、第A.1項「IBM WebSphereセル・ホームページの情報の理解」を参照してください。

Oracle Fusion Middleware管理機能は、「WebSphere Application Server」メニューから実行できます。メニュー・コマンドでのヘルプについては、コマンドを選択後、結果ページの「ヘルプ」メニューから「Enterprise Managerヘルプ」を選択してください。

3.1.2.6 Fusion Middleware ControlからのIBM WebSphereアプリケーション・デプロイメントの表示

IBM WebSphereセルのアプリケーション・デプロイメントには、それぞれFusion Middleware Controlに独自のホームページがあります。

アプリケーション・デプロイメントは、デプロイされたアプリケーションのインスタンスです。たとえば、同一のアプリケーションを2台のサーバーにデプロイすると、同一アプリケーションの2つのデプロイメントを保持することになります。

Fusion Middleware Controlでアプリケーション・デプロイメントを表示するには:

1. IBM WebSphereセルのホームページまたはIBM WebSphereアプリケーション・サーバーのホームページに移動します。

2. アプリケーション・デプロイメントのリストを検索して、アプリケーション名をクリックします。

IBM WebSphere Application Serverのホームページで入手できる機能やオプションの説明の詳細は、第A.3項「IBM WebSphereアプリケーション・デプロイメント・ホームページの情報の理解」を参照してください。

Oracle Fusion Middleware管理機能は、「アプリケーション・デプロイメント」メニューから実行できます。メニュー・コマンドでのヘルプについては、コマンドを選択後、結果ページの「ヘルプ」メニューから「Enterprise Managerヘルプ」を選択してください。

3.1.2.7 セルに対するOracle Fusion Middleware固有の管理タスクの実行

IBM WebSphere管理コンソールと一緒に使用すると、Oracle Enterprise Manager Fusion Middleware Controlにより、IBM WebSphereのインストールおよび構成時にOracle Fusion Middlewareを管理するために必要なツールが提供されます。

IBM WebSphere管理コンソールから、共通のIBM WebSphere管理タスクを実行できます。また、Fusion Middleware ControlのホームページからはOracle Fusion Middleware固有の管理タスクを実行できます。

3.1.2.8 IBM WebSphereでFusion Middleware Controlを使用した場合の相違

IBM WebSphereでOracle Fusion Middleware製品を管理するためにOracle Enterprise Manager Fusion Middleware Controlを使用すると、Oracle WebLogic Serverで使用した場合に使用できる機能との相違に気が付きます。

この相違は、使用中のIBM WebSphereがNetwork Deployment (ND)であるかIBM WebSphere Application Server (AS)であるかにより異なります。

Oracle WebLogic Server環境で使用可能な固有のメニュー・コマンドや機能のなかには、IBM WebSphere環境でのOracle Fusion Middlewareの管理には使用できないものもあります。コマンドや機能が使用できない場合、IBM WebSphere環境ではサポートされません。

表3-1では、IBM WebSphereセルでOracle Fusion Middlewareを管理する際に判明するOracle WebLogic Serverドメインとの相違について説明します。

表3-1 IBM WebSphereを管理する際のOracle WebLogic Serverドメインとの相違の概要

機能または機能領域

IBM WebSphere NDでの相違

IBM WebSphere ASでのその他の相違

Oracle Fusion Middlewareファームの管理

IBM WebSphereの実行時にOracle Fusion Middlewareファームという概念はありません。かわりに、Fusion Middleware Controlによりログイン時に表示される最初のページが、IBM WebSphereセルのホームページになります。

セルのホームページから、Oracle Fusion Middlewareコンポーネントの監視機能や管理機能を備えた別のホームページに移動できます。必要に応じて、簡単にIBM WebSphere管理コンソールにリンクさせることもできます。

NDと同じ。

Fusion Middleware ControlからのIBM WebSphereの管理

IBM WebSphereセルまたはサーバーのページ向けのIBM WebSphereパフォーマンス・メトリックおよびパフォーマンス・サマリー・ページがありません。

NDと同じ。

セルでのFusion Middleware Controlのデプロイメント

IBM WebSphereセルを管理している場合、Fusion Middleware Controlは、Oracle Fusion Middleware製品の構成時に構成ウィザードを使用して作成されるOracleAdminServerで実行されます。

これにより、Fusion Middleware Controlを使用して、セル内のサーバーにデプロイされたすべてのサーバーおよびアプリケーションを管理できます。

単一インスタンス管理のみ。Fusion Middleware Controlは、管理対象のサーバーで実行する必要があります。

Fusion Middleware Controlからのアプリケーション・デプロイメント

Fusion Middleware ControlからはIBM WebSphereにアプリケーションをデプロイできません。かわりに、IBM WebSphere管理コンソールを使用するか、直接Oracle JDeveloperからデプロイすることができます。

詳細は、第3.3項「IBM WebSphereでのアプリケーションのデプロイ」を参照してください。

NDと同じ。

3.1.3 Oracle Fusion Middlewareのwsadminコマンドの使用

WebSphere Application Serverのwsadminツールは、次の2つのモードで実行できるコマンドライン・ユーティリティです。

- インタラクティブ・モード。シェルに直接コマンドを入力します。

- スクリプト・モード。コマンドラインにJython(.py)スクリプトを指定します。

この章の例では、インタラクティブ・モードとwsadminコマンドライン・シェルを使用しているという前提です。スクリプト・モードの使用の詳細は、IBM WebSphereのドキュメントを参照してください。

wsadminツールを使用して、WebSphere Application Serverや、構成、アプリケーション・デプロイメント、サーバーなどのランタイム操作を管理できます。

Oracle Fusion Middlewareにより一連のwsadminコマンドが提供され、ご使用のIBM WebSphereセルに構成されたOracle Fusion Middlewareコンポーネントを管理するために排他的に使用されます。

Oracle Fusion Middlewareのwsadminコマンドおよびその使用方法の詳細は、次の各項を参照してください。

- 第3.1.3.1項「Oracle Fusion Middlewareのwsadminコマンドライン・シェルについて」

- 第3.1.3.2項「Oracle Fusion Middlewareのwsadminコマンドライン・シェルの起動およびデプロイメント・マネージャへの接続」

- 第3.1.3.3項「Oracle Fusion Middlewareのwsadminコマンドラインのオンライン・ヘルプの使用」

- 第3.1.3.4項「wsadminコマンドとWebLogic Scripting Tool (WLST)コマンドとの相違」

- 第3.1.3.5項「Oracle Fusion MiddlewareのwsadminコマンドとIBM WebSphereのWsadminコマンドとの相違」

3.1.3.1 Oracle Fusion Middlewareのwsadminコマンドライン・シェルについて

コマンドライン・シェルとは、特定のコマンド・セットが使用可能で、サポートされているコマンドライン環境のことです。シェル内では、これらのコマンドの実行、コマンドに関するヘルプの入手、管理している環境に特有の管理タスクの実行などが可能です。

Oracle Fusion Middlewareのwsadminコマンドライン・シェルは、Oracle Fusion Middleware固有のwsadminツールの実装環境です。このシェルからは、次のことが実現できます。

- Oracle Fusion Middleware固有のwsadminコマンドの実行

- 使用可能なOracle Fusion Middlewareのwsadminコマンドのリスト

- Oracle Fusion Middlewareのwsadminコマンドのオンライン・ヘルプの入手

3.1.3.2 Oracle Fusion Middlewareのwsadminコマンドライン・シェルの開始およびデプロイメント・マネージャへの接続

管理している製品のOracleホームのcommon/binディレクトリから、Oracle Fusion Middlewareのwsadminコマンドライン・シェルを起動します。

起動時に使用できる引数の詳細リストについては、IBM WebSphereのドキュメントを参照してください。

標準のOracle Fusion Middlewareのwsadminセッションで、管理しているセルのプロファイル名の指定とデプロイメント・マネージャへの接続を求めます。

注意:

次の例では、第2章「Oracle Identity and Access ManagementのIBM WebSphereでのインストールおよび構成」に記載された指示に従って、IBM WebSphereセルのインストールおよび構成がすでに完了したという前提です。

また、セルの構成前にwsadminシェルを実行する場合は、『Oracle Fusion Middleware IBM WebSphere Application Server構成ガイド』の環境設定の前提条件に関する項を参照してください。

次の例では、wsadminシェルの起動方法を示します。

この例は、IBM WebSphereデプロイメント・マネージャがローカル・ホストにあり、デフォルトのSOAPポートを使用しているという前提であることに注意してください。デプロイメント・マネージャが別のホストにある場合は、別のコマンドライン引数を使用してホストとポートを指定する必要があります。詳細は、IBM WebSphereのドキュメントおよびwsadminのコマンドライン・ヘルプを参照してください。

wsadminシェルを起動するには、次のコマンド構文を使用します。

(UNIX) ORACLE_HOME/common/bin/wsadmin.sh
-profileName profilename
-connType SOAP
-user admin_user
-password admin_password

(Windows) ORACLE_HOME\common\bin\wsadmin.cmd
-profileName profilename
-connType SOAP
-user admin_user
-password admin_password

次の例では、UNIXオペレーティング・システムでのwsadminスクリプトの完全なパスを使用しています。

/disk01/Oracle/Middleware/Oracle_SOA1/common/bin/wsadmin.sh -profileName soaDmgr05

例3-1では、UNIXシステムのOracle Fusion Middleware製品のOracleホームのcommon/binディレクトリへ変更した後に、Oracle Fusion Middlewareのwsadminコマンドライン・シェルを起動する例について示します。また、シェル起動時の典型的な出力メッセージも示します。

例3-1 Oracle Fusion Middlewareのwsadminコマンドライン・シェルの起動

./wsadmin.sh -profileName soaDmgr05 -connType SOAP -user wasTest -password welcome1
IN SOA WsadminEnv.sh...
WSADMIN_CLASSPATH=:/scratch/wasTest/mwhome_soa_100719/oracle_common/soa/modules/oracle.soa.mgmt
_11.1.1/soa-infra-mgmt.jar:/scratch/wasTest/mwhome_soa_100719/ ...
.
.
.
WASX7209I: Connected to process "dmgr" on node soaCellManager05 using SOAP connector;  The type of
process is: DeploymentManager

CFGFWK-24021:  OracleHelp loaded.
CFGFWK-24022:  For information on Oracle modules enter 'print OracleHelp.help()'
WASX7031I: For help, enter: "print Help.help()"
wsadmin>

3.1.3.3 Oracle Fusion Middlewareのwsadminコマンドラインのオンライン・ヘルプの使用

次の各項では、Oracle Fusion Middlewareのwsadminコマンドライン・シェルの主要な機能について説明します。

- Oracle Fusion Middlewareのwsadminコマンド・カテゴリのリスト

- Oracle Fusion Middlewareのwsadminコマンドライン・カテゴリ内のコマンドのリスト

- Oracle Fusion Middlewareの特定のwsadminコマンドについてのヘルプの入手

3.1.3.3.1 Oracle Fusion Middlewareのwsadminコマンド・カテゴリのリスト

Oracle Fusion Middlewareのwsadminコマンドライン・シェルで使用可能なOracle Fusion Middlewareコマンドのカテゴリをリストするには、次のコマンドを使用します。

wsadmin>print OracleHelp.help()

例3-2では、Oracle共通ホームから実行する際のprint OracleHelp.help()コマンドの出力例を示します。

Oracle Fusion MiddlewareコンポーネントのOracleホーム(たとえば、Oracle SOA Suite、Oracle WebCenter Portal、Oracle WebCenter Content Oracleホーム)からコマンドを実行すると、出力にはコンポーネント固有のwsadminコマンドに関する情報が含まれます。

例3-2 Oracle Fusion Middlewareのwsadminコマンドライン・シェルから使用可能なコマンドのリスト

wsadmin>print OracleHelp.help()

ADFMAdmin                   ADFM Lifecycle Management Commands.
MDSAdmin                    MDS Lifecycle Management Commands.
OracleDFW                   Lists commands for FMW diagnostic framework.
OracleDMS                   Lists commands for FMW performance metrics and
events.
OracleHelp                  Provides help for Oracle modules.
OracleJRF                   Commands for configuring Managed Servers with
Oracle Java Required Files (JRF)
OracleLibOVDConfig          List commands for managing OVD configuration
OracleMWConfig              Oracle Middleware Configuration Tool.
OracleMWConfigUtilities     Oracle Middleware Configuration Tool Utilities.
OracleODL                   Lists commands for FMW diagnostic logging.
URLConnection               List Commands for managing ADF Based URL
Connections
WebServices                 Lists commands for Oracle WebServices Management.
audit                       Lists commands for Common Audit Framework
igfconfig                   List commands for manageing IGF configuration
opss                        Oracle platform security services Commands.
wsmManage                   Lists commands for Oracle WSM Policy Management.

wsadmin>

3.1.3.3.2 Oracle Fusion Middlewareのwsadminコマンドライン・カテゴリ内のコマンドのリスト

特定カテゴリに関連付けられたコマンドをリストするには、括弧内に一重引用符内で囲んだカテゴリ名を入力します。例:

wsadmin>print OracleHelp.help('OracleODL.help')

例3-3では、特定カテゴリのコマンドのリスト例を示します。

例3-3 Oracle Fusion Middlewareのwsadminコマンドの特定カテゴリのリスト

wsadmin>print OracleHelp.help('OracleODL')

Commands for FMW diagnostic logging

configureLogHandler     Configure Java logging handlers.
displayLogs             Search and display the contents of diagnostic log
files.
getLogLevel             Returns the level of a given Java logger.
listLogHandlers         Lists Java log handlers configuration.
listLoggers             Lists Java loggers and their levels.
listLogs                Lists log files for FMW components.
setLogLevel             Sets the level of a given Java logger.

wsadmin>

3.1.3.3.3 Oracle Fusion Middlewareの特定のwsadminコマンドについてのヘルプの入手

Oracle Fusion Middlewareの特定のwsadminコマンドについてのヘルプを入手するには:

wsadmin>print OracleHelp.help(category.command)

例3-4では、特定のOracle Diagnostic Loggingコマンドのオンライン・ヘルプの出力例を示します。

例3-4 Oracle Fusion Middlewareの特定のwsadminコマンドのオンライン・ヘルプの例

wsadmin>print OracleHelp.help('OracleODL.listLogs')

Lists log files for FMW components.

Returns a PyArray with one element for each log. The elements of the
array are javax.management.openmbean.CompositeData objects describing
each log.

Syntax:
listLogs([options])
- options: optional list of name-value pairs.

o target: the name of a Weblogic server, or an OPMN managed FMW component.
For an OPMN managed component the syntax for the target is
"opmn:<instance-name>/<component-name>".

The target argument can be an array of strings containing one or more
targets. In connected mode the default target includes all running
Weblogic servers in the domain that have JRF enabled.
In disconnected mode there is no default, the target option is required.

o oracleInstance: defines the path to the ORACLE_INSTANCE (or Weblogic
domain home). The command will be executed in disconnected mode when
this parameter is used.

o unit: defines the unit to use for reporting file size. Valid
values are B (bytes), K (kilobytes), M (megabytes), G (gigabytes),
or H (display size in a human-readable form, similar to Unix's "ls
-h" option). The default value is H.

o fullTime: a Jython Boolean value. If true, reports the full time
for the log file last modified time. Otherwise displays a short
version of the time. The default value is false.

Example:
1. listLogs()
2. listLogs(target="server1")
3. listLogs(target="opmn:instance1/ohs1")
4. listLogs(oracleInstance="/middleware/user_projects/domains/base_domain",
target="server1")
wsadmin>

3.1.3.4 wsadminコマンドとWebLogic Scripting Tool (WLST)コマンドとの相違

IBM WebSphereでサポートされるOracle Fusion Middlewareのwsadminコマンドの多くは、WebLogic Scripting Tool (WLST)コマンドと同等のものです。

WLSTと同等のコマンドの詳細を検索するには、『Oracle Fusion Middleware WebLogic Scripting Toolコマンド・リファレンス』を参照してください。

すべてのOracle Fusion Middlewareのwsadminコマンド・カテゴリ(またはモジュール)をリストするには、例3-2で示すようにOracleHelp.help()コマンドを使用します。

多くの場合、WLSTコマンドとwsadminコマンドの唯一の相違は、wsadminコマンドにそれぞれカテゴリ名を使用した接頭辞を付ける必要がある点です。例3-6では、WLSTでlistLoggersコマンドを使用する方法を示します。例3-7では、このコマンドをwsadminで使用する方法を示します。

例3-5 WLSTでのListLoggersコマンドの使用

wls:/base_domain/serverConfig> listLoggers(pattern="oracle.dms.*")
-----------------------+-----------------
Logger                 | Level
-----------------------+-----------------
oracle.dms             | <Inherited>
oracle.dms.aggregator  | <Inherited>
oracle.dms.collector   | <Inherited>
oracle.dms.context     | <Inherited>
oracle.dms.event       | <Inherited>
oracle.dms.instrument  | <Inherited>
oracle.dms.jrockit.jfr | <Inherited>
oracle.dms.reporter    | <Inherited>
oracle.dms.trace       | <Inherited>
oracle.dms.translation | <Inherited>
oracle.dms.util        | <Inherited>
wls:/base_domain/serverConfig>

例3-6 wsadminでのListLoggersコマンドの使用

wsadmin>OracleODL.listLoggers(pattern="oracle.dms.*")
-----------------------+-----------------
Logger                 | Level
-----------------------+-----------------
oracle.dms             | WARNING:1
oracle.dms.aggregator  | NOTIFICATION:1
oracle.dms.collector   | NOTIFICATION:1
oracle.dms.context     | NOTIFICATION:1
oracle.dms.event       | NOTIFICATION:1
oracle.dms.instrument  | NOTIFICATION:1
oracle.dms.reporter    | NOTIFICATION:1
oracle.dms.trace       | NOTIFICATION:1
oracle.dms.translation | NOTIFICATION:1
oracle.dms.util        | NOTIFICATION:1
wsadmin>

3.1.3.5 Oracle Fusion MiddlewareのwsadminコマンドとIBM WebSphereのWsadminコマンドとの相違

実行中のOracle Fusion Middlewareのwsadminコマンドと標準的なIBM WebSphereのwsadminコマンドとの次の相違に注意してください。

- Oracle Fusion Middleware Oracleホームのcommon/binディレクトリからOracle Fusion Middlewareのコマンドを実行する必要があります。

- Oracle Fusion Middlewareのwsadminコマンドは、Jythonスクリプト言語を排他的に使用します。

3.2 IBM WebSphereでの基本的な管理タスク

次の各項では、IBM WebSphereでのOracle Fusion Middleware実行時に実行可能な基本的な管理タスクの詳細を説明します。

- WindowsシステムでのIBM WebSphereディレクトリ・パスの参照

- IBM WebSphereでのサーバーの起動と停止

- IBM WebSphereでのMetadata Services (MDS)の構成

- IBM WebSphereでのOracle Fusion Middlewareロギングの構成

- 診断フレームワークの設定

- IBM WebSphereセルでのデータソースの作成

3.2.1 WindowsシステムでのIBM WebSphereディレクトリ・パスの参照

Windowsオペレーティング・システムのWebSphere Application Serverに対してパスを指定する場合にパス内のディレクトリ名にスペースを含む場合は、空白の前の文字のかわりにチルド文字(~)と1を使用した短縮名を指定する必要があります。

たとえば、Windowsオペレーティング・システムのWebSphere Application ServerのデフォルトのロケーションはProgram Filesのサブディレクトリにあります。このディレクトリ名には、次のように空白が含まれています。

C:\Program Files\IBM\WebSphere\Appserver

このロケーションを指定するには、次のようにする必要があります。

C:\Progra~1\IBM\WebSphere\Appserver

このロケーションを参照している場合、「参照」ボタンを押すと、誤ってフィールドにC:\Progra~1ではなく空白が挿入されます。

3.2.2 IBM WebSphereでのサーバーの起動と停止

IBM WebSphereセルでのサーバーの起動と停止には、次の2つの方法があります。

- プロファイル・スクリプトを使用したIBM WebSphereサーバーの起動と停止

- Fusion Middleware Controlを使用したIBM WebSphereサーバーの起動と停止

3.2.2.1 プロファイル・スクリプトを使用したIBM WebSphereサーバーの起動と停止

他のIBM WebSphereセル同様、プロファイル・スクリプトを使用して、Oracle Fusion Middlewareに対して構成したセル内のサーバーを起動および停止できます。

たとえば、OracleAdminServerを停止するには、IBM WebSphereホームの次のディレクトリに移動して次のコマンドを入力します。

UNIXオペレーティング・システムの場合:

profiles/profile_name/bin/stopServer.sh OracleAdminServer
-profileName profileName

Windowsオペレーティング・システムの場合

profiles\profile_name\bin\stopServer.cmd OracleAdminServer
-profileName profileName

たとえば、UNIXオペレーティング・システムでは次のようになります。

/disk01/IBM/WebSphere/ApplicationServer/profiles
/Custom01/bin/stopServer.sh OracleAdminSErver
-profileName Custom01

ご使用のIBM WebSphereセルでのサーバーの開始方法の例については、第2.10項「タスク10: IBM WebSphereサーバーの起動」を参照してください。

各プロファイルに対して生成されるスクリプトの詳細は、IBM WebSphereのドキュメントを参照してください。

3.2.2.2 Fusion Middleware Controlを使用したIBM WebSphereサーバーの起動と停止

Oracle Enterprise Manager Fusion Middleware Controlから、IBM WebSphereサーバーを起動および停止することもできます。

たとえば、Fusion Middleware Controlからサーバーを停止する手順は次のとおりです。

1. サーバーのホームページに移動します。
詳細は、第3.1.2.5項「Fusion Middleware ControlからのIBM WebSphereサーバーの表示」を参照してください。

2. 「WebSphere Application Server」メニューから、「コントロール」→「停止」の順に選択します。
Fusion Middleware Controlに、確認のダイアログ・ボックスが表示されます。

3. 「停止」をクリックします。

注意:

Fusion Middleware Controlは、OracleAdminServerにデプロイされます。そのため、OracleAdminServerを停止すると、Fusion Middleware Controlも停止します。サーバーを再び起動するには、プロファイル・スクリプトを使用する必要があります。

詳細は、第3.2.2.1項「プロファイル・スクリプトを使用したIBM WebSphereサーバーの起動と停止」を参照してください。

3.2.3 IBM WebSphereでのMetadata Services (MDS)の構成

他のOracle Fusion Middlewareコンポーネント同様、IBM WebSphereでは、Oracle Enterprise Manager Fusion Middleware Controlやwsadminコマンドライン・ユーティリティを使用して、Oracle Fusion Middleware Metadata Services (MDS)を管理できます。

Oracle WebLogicサーバーでのMDSの構成との相違の詳細は、次の各項を参照してください。

- IBM WebSphereでのMDSコマンドライン機能の相違

- IBM WebSphereでMDS Fusion Middleware Controlページを使用した場合の相違

3.2.3.1 IBM WebSphereでのMDSコマンドライン機能の相違

IBM WebSphereでMDSを管理するために使用するwsadminコマンドにはすべて、同等のWebLogic Scripting Tool (WLST)コマンドがあります。これらのコマンドについては、『Oracle Fusion Middleware WebLogic Scripting Toolコマンド・リファレンス』に記載されています。

また、WLSTおよびwsadminで使用可能なMDSコマンドの相違の詳細は、wsadminオンライン・ヘルプを参照してください。

たとえば、IBM WebSphereでregisterMetadataDBRepositoryコマンド使用する場合の次の相違には注意してください。

- このコマンドには、IBM WebSphereでの追加パラメータ(authAlias)があります。

- 既存のtargetServersパラメータにより、リポジトリに対して、Oracle WebLogicサーバー・インスタンスではなく、対象のWebSphereサーバーまたはクラスタを指定できます。

詳細は、次の項を参照してください。

- IBM WebSphereでのregisterMetadataDBRepository authAliasパラメータの使用

- IBM WebSphereでのregisterMetadataDBRepository targetServersパラメータの使用

- IBM WebSphereでのregisterMetadaDBRepositoryコマンドの詳細

3.2.3.1.1 IBM WebSphereでのregisterMetadataDBRepository authAliasパラメータの使用

authAlias引数を使用して、MDSスキーマが常駐するデータベースへ接続する既存の認証別名を作成または使用できます。例:

- authAliasパラメータに値を指定しないと、Oracle Fusion Middlewareでは、認証別名はメタデータ・リポジトリ名と同じものと見なされます。

- ユーザー名とパスワードを指定すると、Oracle Fusion Middlewareでは、別名としてパラメータの値を使用するか(authAliasパラメータが指定された場合)、別名としてメタデータ・リポジトリの名前を使用するか(authAliasパラメータが指定されない場合)のいずれかにより、新たな認証別名が作成されます。

- ユーザー名とパスワードを指定しないと、Oracle Fusion Middlewareでは、既存の認証別名(authAliasパラメータの値またはauthAliasパラメータが指定されない場合のメタデータ・リポジトリの名前のいずれか)を使用したデータベースへの接続を希望していると見なされます。

3.2.3.1.2 IBM WebSphereでのregisterMetadataDBRepository targetServersパラメータの使用

targetServersパラメータを使用して、このリポジトリが登録されるWebSphereサーバーまたはクラスタを指定します。この引数が指定されないと、リポジトリはDeploymentManagerにのみ登録されます。

サーバーまたはクラスタは、wsadminスクリプト・ツールで構成オブジェクトを指定する形式で指定される必要があります。構成オブジェクトは、包含パス文字列に/type:name/という値の複数のペアで指定できます。例:

'/Cell:myCell/Node:myNode/Server:myServer/'

包含パスには、正しい階層順序でパスを指定する必要があります。

複数のサーバーまたはクラスタを指定するには、名前をカンマで区切ります。

後で別のサーバーまたはクラスタをセルに追加する場合、リポジトリの初期登録後に追加された新しいサーバーまたはクラスタから確実にリポジトリが使用できるようにするために、次の作業を行う必要があることに注意してください。

- deregisterMetadataDBRepositoryコマンドを使用して、すべての初期ターゲットからリポジトリを登録解除します。次に、再びregisterMetadataDBRepositoryコマンドを実行して、追加のターゲットにリポジトリを登録します。2度目にregisterMetadataDBRepositoryコマンドを実行するまで、すべてのサーバーでリポジトリが使用できないことに注意してください。

- registerMetadataDBRepositoryコマンドで作成したリポジトリとまったく同じプロパティを使用して、新規サーバーまたはクラスタに手動でリポジトリを作成します。

3.2.3.1.3 IBM WebSphereでのregisterMetadaDBRepositoryコマンドの詳細

IBM WebSphereでのregisterMetadataDBRepositoryコマンド使用の詳細は、次のコマンドのwsadminオンライン・ヘルプを確認してください。

wsadmin> print MDSAdmin.help('registerMetadataDBRepository')

wsadminコマンドラインのオンライン・ヘルプ使用の詳細は、第3.1.3.3項「Oracle Fusion Middlewareのwsadminコマンドラインのオンライン・ヘルプの使用」を参照してください。

3.2.3.2 IBM WebSphereでMDS Fusion Middleware Controlページを使用する場合の相違

IBM WebSphereでFusion Middleware Controlを使用してMDSリポジトリを管理している場合、Fusion Middleware Controlページにはいくつかの相違があります。これらの相違は、Oracle WebLogic ServerとIBM WebSphereの基本的な管理機能の相違によるものです。

例:

- Oracle WebLogic Serverの場合、Metadata Repositoryホームページに「ターゲット・サーバー」リージョンがあり、リポジトリがアクセス可能なOracle WebLogic Serverサーバーを認識します。このリージョンはIBM WebSphereでは使用できません。

- IBM WebSphereの場合は、「Register Database-Based Metadata Repository」ページにより、認証別名の指定が可能で、リポジトリ・データベースへの接続に必要な資格証明を表示できます。

3.2.4 IBM WebSphereでのOracle Fusion Middlewareロギングの構成

IBM WebSphereを使用して実行している場合、Oracle Fusion Middleware製品のログ・ファイルの構成を変更するには、いくつか方法があります。

ログ構成の変更時には、次のことを考慮してください。

- ログ・レベルを変更するには、IBM WebSphere管理コンソール、Fusion Middleware ControlまたはOracle Fusion Middlewareのwsadminコマンドライン・シェルでOracleODLコマンドを使用できます。
Oracle WebLogic Serverと異なり、IBM WebSphereではjava.util.loggingが実装されています。特に、子ログ出力は親からログ・レベルのプロパティを継承していないことに注意してください。ただし、例3-7に示すwsadminコマンドを使用することで、ログ出力とその子孫のログ・レベルを変更できます。

例3-7のOracleODL.setLogLevelコマンドの前に2つの空白が必要であることに注意してください。この空白は、この行が前の行から継続していることを示しています。

- 他の構成プロパティを変更するには、Fusion Middleware ControlまたはwsadminコマンドラインでOracleODLコマンドを使用できます。

- ログ構成ファイルの名前は、websphere-logging.xmlです。ただし、ファイルを直接編集するのではなく、Fusion Middleware Control、wsadminコマンドラインまたはIBM WebSphere管理コンソールを使用してファイルを修正する必要があることに注意してください。

- 主な診断ログ・ファイルは、次のディレクトリにあります。

SERVER_LOG_ROOT/server_name-diagnostic.log

SERVER_LOG_ROOT環境変数の詳細は、IBM WebSphereのドキュメントを参照してください。

一部のOracle Fusion Middlewareコンポーネントも独自のログを生成し、このロケーションに格納するため注意してください。

例3-7 ロギング・レベルを設定するOracle Fusion Middlewareのwsadminスクリプトの例

wsadmin>myLoggers = OracleODL.listLoggers(pattern="oracle.dms.*")
-----------------------+-----------------
Logger                 | Level
-----------------------+-----------------
oracle.dms             | WARNING:1
oracle.dms.aggregator  | NOTIFICATION:1
oracle.dms.collector   | NOTIFICATION:1
oracle.dms.context     | NOTIFICATION:1
oracle.dms.event       | NOTIFICATION:1
oracle.dms.instrument  | NOTIFICATION:1
oracle.dms.reporter    | NOTIFICATION:1
oracle.dms.trace       | NOTIFICATION:1
oracle.dms.translation | NOTIFICATION:1
oracle.dms.util        | NOTIFICATION:1
wsadmin>print myLoggers{'oracle.dms.translation': 'NOTIFICATION:1', 'oracle.dms.context':
'NOTIFICATION:1', 'oracle.dms.event': 'NOTIFICATION:1', 'oracle.dms':
'NOTIFICATION:1', 'oracle.dms.util': 'NOTIFICATION:1', 'oracle.dms.aggregator':
'NOTIFICATION:1', 'oracle.dms.reporter': 'NOTIFICATION:1', 'oracle.dms.trace':
'NOTIFICATION:1', 'oracle.dms.instrument': 'NOTIFICATION:1',
'oracle.dms.collector': 'NOTIFICATION:1'}
wsadmin> for loggerName in myLoggers.keys():
wsadmin>  OracleODL.setLogLevel(target="OracleAdminServer", logger=loggerName, level="FINE")
wsadmin>
wsadmin>OracleODL.listLoggers(pattern="oracle.dms.*")
-----------------------+-----------------
Logger                 | Level
-----------------------+-----------------
oracle.dms             | WARNING:1
oracle.dms.aggregator  | TRACE:1
oracle.dms.collector   | TRACE:1
oracle.dms.context     | TRACE:1
oracle.dms.event       | TRACE:1
oracle.dms.instrument  | TRACE:1
oracle.dms.reporter    | TRACE:1
oracle.dms.trace       | TRACE:1
oracle.dms.translation | TRACE:1
oracle.dms.util        | TRACE:1

3.2.5 診断フレームワークの設定

IBM WebSphereへのOracle Fusion Middlewareインストール時に自動診断リポジトリ(ADR)バイナリが自動的にインストールされていないため、診断フレームワークは、インシデントを格納するためにADRを使用できません。

IBM WebSphereでインシデントを作成できるようにするには、ADRバイナリをインストールして、このバイナリを指定するようWebSphereサーバーを構成する必要があります。

次のステップを実行します。

1. Oracle Technology Network (OTN)からOracle Database Instant Clientバイナリのバージョン11.2.0.1をダウンロードし、インストールします。

http://www.oracle.com/technology/software/tech/oci/instantclient/index.html

ご使用のオペレーティング・システムを選択し、「基本」を選択します。

2. IBM WebSphereを実行しているホストに、ダウンロードしたファイルをインストールします。

3. WebSphere Integrated Solutions Consoleを使用して、インストール済のOracle Database Instant Clientバイナリのロケーションにシステム・プロパティoracle.adr.homeを設定するようにIBM Websphereサーバーを構成します。
たとえば、分散プラットフォームのプロパティを設定する手順は次のとおりです。

1. 「Servers」→「Server Types」を展開します。「WebSphere Application Servers」を選択します。

2. 「Application Servers」ページで、サーバーを選択します。

3. サーバー・ページの「Server Infrastructure」セクションで、「Java and process management」→「Process Definition」を展開します。

4. 「Process Definition」ページで、「Java Virtual Machine」を選択します。

5. 「Custom Properties」を選択し、「New」をクリックします。

6. 「Name」に、oracle.adr.homeと入力します。

7. 「Value」には、インストール済ファイルのロケーションを入力します。

8. 「Apply」→「Save」の順にクリックします。

3.2.6 IBM WebSphereセルでのデータソースの作成

データソースの作成は共通の管理タスクで、ご使用のOracle Fusion Middleware環境の特定の状況を構成する際に必要です。

リポジトリ作成ユーティリティによってインストールされた製品スキーマへ接続するデータソースは、構成ウィザードの実行時に作成されます。ただし、デプロイするアプリケーションにデータソースが必要となる場合など、他にもデータソースの作成が必要となる使用例があります。

IBM WebSphereでデータソースを作成するには、IBM WebSphere管理コンソールを使用できます。

次の例では、Oracleデータベース用のIBM WebSphereデータソースの作成方法を示します。データベースの作成には、次のタスクが含まれます。

- タスク1、「アクセスするOracleデータベース用の認証別名の作成」

- タスク2、「Oracleデータベース用のJDBCデータ・プロバイダの作成」

- タスク3、「最新のOracleデータベース・クラスを使用するためのJDBCデータ・プロバイダの変更」

- タスク4、「OracleデータベースのJDBCプロバイダを使用するJDBCデータソースの作成」

- タスク5、「データソース接続のテスト」

タスク1   アクセスするOracleデータベース用の認証別名の作成

1. IBM WebSphere管理コンソールにログインして、「Security」→「Global Security」に移動します。

2. 「Global Security」ページで、「Java Authentication and Authorization Service」→「J2C Authentication Data」を選択します。

3. 「New」をクリックします。

4. 表3-2に示す情報を「General Properties」ページに入力します。

5. 新しい認証別名をマスター構成に保存します。

表3-2 Oracleデータベースのデータソース用「認証別名」一般プロパティ

項目

説明

別名

別名の名前を入力します。別名に割り当てられた資格証明の目的を識別する名前を使用します。たとえば、OracleDBaliasなどとします。

ユーザーID

データベースへの接続に使用する予定のOracleデータベースのユーザー名を入力します。

注意: 必要に応じて、ロールも含めます。たとえば、SYSとして接続している場合、このフィールドには次のように入力します。

SYS as SYSDBA

パスワード

データベース・ユーザーのパスワードを入力します。

説明

オプションで、認証別名の目的の説明を入力します。

タスク2   Oracleデータベース用のJDBCデータ・プロバイダの作成

1. IBM WebSphere管理コンソールにログインして、「Resources」→「JDBC」→「JDBC Providers」に移動します。

2. 作成する予定のデータ・プロバイダに適切な「Scope」を選択します。

3. 「New」をクリックします。
IBM WebSphere管理コンソールにより、JDBCプロバイダ作成プロセスへ誘導する3ステップのウィザードが表示されます。

4. JDBCプロバイダ・ウィザードのステップ1では、表3-3に従い選択します。

5. JDBCプロバイダ・ウィザードのステップ2では、デフォルト値を承認します。
注意: これは、このプロシージャの後で変更できます。

6. JDBCプロバイダ・ウィザードのステップ3では、これまでに入力または選択した値を確認します。

7. 「Finish」をクリックして、初期プロバイダを作成し、「JDBC Providers」に戻ります。

表3-3 Oracleデータベース用のIBM WebSphereデータソース作成時に選択する推奨値

項目

推奨値

データベース・タイプ

ドロップダウン・メニューで、「Oracle」を選択します。

プロバイダ・タイプ

ドロップダウン・メニューで、Oracle JDBCドライバを選択します。

実装タイプ

ドロップダウン・メニューで、接続プールのデータソースを選択します。

名前

JDBCドライバに固有名を指定するか、デフォルト名を使用します。

説明

オプションで、JDBCプロバイダの説明を入力します。これは、特定の目的の複数のデータソースを作成する場合に役立ちます。

タスク3   最新のOracleデータベース・クラスを使用するためのJDBCデータ・プロバイダの変更

1. JDBCプロバイダのリストで、データベース・プロバイダの名前をクリックします。

2. そのページの「一般プロパティ」セクションで、「クラスパス」フィールドの値を次のように置き換えます。

${COMMON_COMPONENTS_HOME}/modules/oracle.jdbc_11.1.1/ojdbc6dms.jar
${COMMON_COMPONENTS_HOME}/modules/oracle.dms_11.1.1/dms.jar
${COMMON_COMPONENTS_HOME}/modules/oracle.odl_11.1.1/ojdl.jar

1行ごとに表示されるようにパス・ロケーションを分割するには、[Enter]を押します(図3-2を参照)。

3. 「OK」をクリックして、「JDBCプロバイダ」ページに戻ります。

4. 「保存」をクリックして、変更内容をマスター構成に保存します。

図3-2 Oracleデータベース用のIBM WebSphere JDBCプロバイダ値の概要

「図3-2 Oracleデータベース用のIBM WebSphere JDBCプロバイダ値の概要」の説明

タスク4   OracleデータベースのJDBCプロバイダを使用するJDBCデータソースの作成

1. コンソールにログインして、「リソース」→「JDBC」→「データソース」に移動します。

2. 作成する予定のデータソースに適切なスコープを選択します。

3. 「New」をクリックします。
IBM WebSphere管理コンソールにより、データソース作成プロセスへ誘導する5ステップのウィザードが表示されます。

4. データソース・ウィザードのステップ1では、データソースおよびJNDIロケーションの名前を入力します。
たとえば、データソース名としてmyOracleDS、JNDIロケーションとしてjdbc/myOracleDSを使用します。

5. データソース・ウィザードのステップ2では、「Select an existing JDBC provider」を選択して、ドロップダウン・メニューからこのプロシージャの初めに作成したJDBCプロバイダを選択します。

6. データソース・ウィザードのステップ3では、次の手順を実行します。

1. 「URL」フィールドに、Oracleデータベースの接続文字列を次の形式で入力します。

jdbc:oracle:thin:@hostname:port:SID

例:

jdbc:oracle:thin:@host42.example.com:1521:DB43

2. 「Data store helper class name」メニューで、10gまたは11gのどちらのOracleデータベースに接続しているかに基づいて、適切なクラス名を選択します。

3. オプションで、「Use this data source in container managed persistence (CMP)」を選択します。
このオプションの目的の詳細は、IBM WebSphere管理コンソールのオンライン・ヘルプを参照してください。

7. データソース・ウィザードのステップ4では、「Component-managed authentication alias」メニューを使用して、このプロシージャの初めにOracleデータベース用に作成した認証別名を選択します。
このページの他のオプションの詳細は、IBM WebSphere管理コンソールのオンライン・ヘルプを参照してください。

8. データソース・ウィザードのステップ5では、変更内容を確認します。変更内容に間違いがなければ、「Finish」をクリックして「Data Sources」ページに戻ります。

9. コンソールの指示に従って、構成の変更内容を保存します。

タスク5   データソース接続のテスト

「データソース」ページで、データソースを選択し、「接続テスト」をクリックして、データソースの構成を確認します。

3.3 IBM WebSphereでのアプリケーションのデプロイ

IBM WebSphereでのOracle Fusion Middlewareアプリケーションのデプロイの詳細は、次の各項を参照してください。

- IBM WebSphereでのOracle Fusion Middlewareアプリケーションのデプロイ準備

- IBM WebSphereでのOracle Fusion Middlewareアプリケーションのデプロイ方法

- IBM WebSphereでのMDSデプロイメント・プランのカスタマイズが必要なアプリケーションのデプロイ

3.3.1 IBM WebSphereでのOracle Fusion Middlewareアプリケーションのデプロイ準備

IBM WebSphereにOracle Fusion Middlewareアプリケーション(ADF、Oracle SOA Suite、Oracle WebCenter Portal、Oracle WebCenter Contentアプリケーションなど)をデプロイする前に、環境準備に向けたいくつかの手順に従う必要があります。

たとえば、Java必須ファイル(JRF)テンプレートが確実にIBM WebSphereサーバーに適用されている必要があります。これは、第2章「Oracle Identity and Access ManagementのIBM WebSphereでのインストールおよび構成」およびOracle Fusion Middleware IBM WebSphere Application Server構成ガイドで説明されているように、Oracle Fusion Middleware構成ウィザードを使用して環境を構成することで実現できます。

3.3.2 IBM WebSphereでのOracle Fusion Middlewareアプリケーションのデプロイ方法

IBM WebSphereにOracle Fusion Middlewareアプリケーションをデプロイする主な方法は、次のとおりです。

- 開発環境またはテスト環境での作業の場合は、Oracle JDeveloperから直接アプリケーションをデプロイできます。
IBM WebSphere環境でのOracle JDeveloperの詳細は、『Oracle Fusion Middleware Oracle Application Development Framework Fusion開発者ガイド』のアプリケーションのデプロイに関する項を参照してください。

Oracle SOA Suite、Oracle WebCenter PortalまたはOracle WebCenter Contentアプリケーションのデプロイの詳細は、このガイド内の対応する章および適切な製品開発ガイドを参照してください。

- テスト環境または本番環境で作業している場合は、IBM WebSphere管理コンソールからアプリケーション・アーカイブ(たとえば、エンタープライズ・アーカイブ(EAR)ファイル)をデプロイできます。

3.3.3 IBM WebSphereでのMDSデプロイメント・プランのカスタマイズが必要なアプリケーションのデプロイ

MDS wsadminコマンドを使用してMDSデプロイメント・プランをカスタマイズする場合を除いて、MDSデプロイメント・プランのカスタマイズが必要なアプリケーションをデプロイするには、Oracle JDeveloperを使用する必要があります。

デプロイメント・プランのカスタマイズを終えると、IBM WebSphere管理コンソールからアプリケーション・アーカイブをデプロイできます。

3.4 IBM WebSphereでのOracle Fusion Middlewareの高可用性の構成

IBM WebSphereでのOracle Fusion Middlewareコンポーネントの高可用性への構成の詳細は、次の各項を参照してください。

- IBM WebSphereでのOracle Fusion Middlewareの高可用性の構成に対するドキュメント・リソース

- IBM WebSphereでのOracle Fusion MiddlewareのJavaオブジェクト・キャッシュの構成

3.4.1 IBM WebSphereでのOracle Fusion Middlewareの高可用性の構成に対するドキュメント・リソース

IBM WebSphereにインストールし構成するOracle Fusion Middlewareコンポーネントに高可用性環境を構成する場合は、次の各リソースを参照してください。

- WebSphere Application Serverインフォメーション・センターから入手できるIBM WebSphereのドキュメント

- Oracle WebLogic ServerでのOracle Fusion Middlewareコンポーネントの高可用性の基本的な概念を説明した『Oracle Fusion Middleware高可用性ガイド』

- Oracle WebLogic Serverベースの本番環境で様々なOracle Fusion Middlewareコンポーネントを構成するための特定の参照トポロジを提供する『Oracle Fusion Middlewareエンタープライズ・デプロイメント・ガイド』

- IBM WebSphereでのOracle Fusion Middlewareコンポーネントの構成時の既知の問題や回避策に関するご使用のプラットフォーム用の『Oracle Fusion Middlewareリリース・ノート』。

また、Oracle Fusion Middleware IBM WebSphere Application Server構成ガイドのOracle Fusion Middlewareを構成するためのwsadminの使用に関する項も参照してください。wsadminコマンドラインを使用して、次の作業を実行する方法についての例が示されています。

- IBM WebSphereでのサーバー、クラスタおよびクラスタ・メンバーの作成

- Oracle Real Application Clustersデータベースと通信するためのデータソースの作成

- 既存のセルへのリモート・ノードのフェデレート

3.4.2 IBM WebSphereでのOracle Fusion MiddlewareのJavaオブジェクト・キャッシュの構成

Oracle Fusion Middlewareの高可用性の構成時、『Oracle Fusion Middleware高可用性ガイド』および『Oracle Fusion Middlewareエンタープライズ・デプロイメント・ガイド』では、Oracle Web Services ManagerやOracle WebCenter Portalのパフォーマンスを向上するためにJavaオブジェクト・キャッシュ(JOC)の使用を薦めています。

この使用例でJOCを構成するために、configure-joc.pyと呼ばれるカスタム・スクリプトがOracle Fusion Middlewareにより提供されます。このスクリプトは、IBM WebSphereではサポートされていません。

そのかわりとして、次のプロシージャを使用してIBM WebSphereでOracle Fusion MiddlewareのJOCを構成できます。

1. クラスタ内のサーバーごとにjavacache.xmlファイルを検索して、編集します。
javacache.xmlファイルは、各サーバーのデプロイメント・マネージャ・ディレクトリにあります。

WAS_HOME/profiles/dmgr_proile_name/config
/cells/cell_name
/nodes/node_name
/servers/server_name
/fmwconfig/javacache.xml

たとえば、WC_Spacesという名前のクラスタを構成し、クラスタにWC_SpacesとWC_Spaces2という2台のサーバーがある場合、次のようにしてjavacache.xmlファイルを検索します。

WebSphere/AppServer/profiles/Dmgr01/config/cells/Cell01/nodes/Node01/servers/WC_Spaces/fmwconfig/javacache.xml

WebSphere/AppServer/profiles/Dmgr01/config/cells/Cell01/nodes/Node01/servers/WC_Spaces2/fmwconfig/javacache.xml

2. javacache.xmlファイルを次のように変更します。

- <communicationService>要素のenabled属性をTRUEに設定します。

- <packet-distributer>要素からoutOfProc="false"属性を削除します。

- クラスタ内のサーバーのホストとポートとともに<distributor-location>要素を追加します。

例3-8では、IBM WebSphereで使用するために変更されたサンプルのjavacache.xmlファイルを示しています。例では、ホストをホスト・アドレスに置き換え、ポートはJOC通信に使用するポートに置き換えています。空きポートはどれでも選択可能です。

3. IBM WebSphere管理コンソールにログインして、「Nodes」ページ(「System administration」→「Nodes」)に移動します。

4. クラスタのすべてのノードを選択して、「Full Resynchronize」をクリックします。

5. クラスタ内のすべてのサーバーを再起動します。

例3-8 サンプルのjavacache.xmlファイル(IBM WebSphere向けに変更)

<?xml version="1.0" encoding="UTF-8"?>
<cache-configuration
xmlns="http://www.oracle.com/oracle/ias/cache/configuration11"
xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" max-objects="5000"
max-size="10" private="false"    cache-dump-path="jocdump" system="false" clean-interval="60"
version="11.1.1.2.0"
internal-version="110000">
<communicationService enabled="true">
<v2 ssl-config-file=".sslConfig" init-retry="300" init-retry-delay="2000"
enable-ssl="false" auto-recover="false">
<packet-distributor enable-router="false" startable="true"
dedicated-coordinator="false" >
<distributor-location host="myhost1.example.com"
port="9988" ssl="true"/>
<distributor-location host="myhost2.exmaple.com" port="9988"
ssl="true"/>
</packet-distributor>
</v2>
</communicationService>
<diskCache size="10" count="5000" ping-interval="60"/>
<logging override-parent="false" location="javacache.log"
default-level="SEVERE"/>
<dms enabled="false"/>
</cache-configuration>

4 IBM WebSphere上でのOracle Identity Managerの管理

この章では、IBM WebSphereアプリケーション・サーバー上でのOracle Identity Managerの管理について説明します。この章の内容は、次のとおりです。

- このドキュメントで使用される表記法

- システム要件と証明済コンポーネント

- Oracle Identity Managerの単一ノード用の構成

- IBM WebSphere上でのインストール後の構成の実行

- IBM WebSphere上でのOracle Identity Managerのアップグレード

- IBM WebSphere上でのライフサイクル管理の変更の処理

- IBM WebSphere上でのOracle Identity Managerユーティリティの使用

- IBM WebSphere上でのアイデンティティ証明の理解

4.1 このドキュメントで使用される表記法

表4-1 このドキュメントで使用される表記法について説明します。

表4-1 このドキュメントで使用される表記法

規則

説明

OIM_HOME

Oracle Identity Managerサーバーがインストールされるディレクトリを表します。

OIM_ORACLE_HOME

Oracle Identity Managerがインストールされるディレクトリを識別する環境変数を表します。この変数は、様々なOracle Identity Managerスクリプトで使用できます。

WAS_HOME

IBM WebSphereアプリケーション・サーバーがインストールされたディレクトリを表します。

WAS_CLIENT_HOME

IBM WebSphereアプリケーション・クライアントがインストールされたディレクトリを表します。

MW_HOME

Oracle Fusion Middlewareがインストールされたディレクトリを表します。

COMMON_COMPONENTS_HOME

これには、Fusion Middleware ControlおよびJava Required Files (JRF)に必要なバイナリおよびライブラリ・ファイルが含まれます。例: MW_HOME/oracle_common

Custom01 | Custom02

カスタム・プロファイルの名前を表します。

Dmgr01 | Dmgr02

デプロイメント・マネージャ・プロファイルの名前を表します。

OIM_DC_HOME

Oracle Identity Manager Design Consoleがインストールされたディレクトリを表します。

OIM_RM_HOME

Oracle Identity Managerリモート・マネージャがインストールされたディレクトリを表します。

OIM_CELL_NAME

Oracle Identity Manager Serverが格納されたIBM WebSphereアプリケーション・サーバー・セルを表します。

JAVA_HOME

Oracle Identity Managerサーバー用のIBM Javaランタイム・ディレクトリの場所を表します。プロシージャによっては、JAVA_HOMEがOracle Identity Managerリモート・マネージャ用のIBM Javaランタイム・ディレクトリを表すことがあります。

RBACX_HOME

Oracle Identity Analyticsがインストールされたディレクトリを表します。

ANT_HOME

Apache Antがインストールされたディレクトリを表します。

4.2 システム要件と証明済コンポーネント

Oracle Identity Managerをデプロイして使用する前に、使用する環境がインストールの最低要件を満たすことを確認する必要があります。ハードウェアおよびソフトウェア要件、最小ディスク・スペースおよびメモリー要件、必須のシステム・ライブラリ、パッケージおよびパッチについては、次のURLでシステム要件に関するドキュメントを参照してください。

http://www.oracle.com/technetwork/middleware/ias/downloads/fusion-requirements-100147.html

次のURLでは、Oracle Fusion Middlewareでサポートされるインストール・タイプ、プラットフォーム、オペレーティング・システム、データベース、JDKおよびサード・パーティ製品に関する情報を参照できます。

http://www.oracle.com/technetwork/middleware/ias/downloads/fusion-certification-100350.html

Oracle Identity Managerが必要とするパッチの詳細は、『Oracle Fusion Middlewareリリース・ノート』のパッチの要件に関する項を参照してください。

注意:

- IBM WebSphereアプリケーション・サーバー上でOracle Identity Managerをセットアップするために必要な最小メモリー要件は8GBです。

- WebSphereに関するBI Publisherレポートは、Oracle Identity Manager 11g リリース2 (11.1.2.1.0)では認証されていません。

4.3 Oracle Identity Managerの単一ノード用の構成

Oracle Identity Managerのインストールの一環として、第2章「Oracle Identity and Access ManagementのIBM WebSphereでのインストールおよび構成」に従ってセル構成を実行した後に、Oracle Identity Managerを構成する必要があります。これを行うには:

1. 第2.8項「タスク8: 新しいIBM WebSphereセルでのOracle Identity and Access Managementコンポーネントの構成」の手順に従い、Oracle Fusion Middleware構成ウィザードを使用してOracle Identity Managerセルを作成します。

2. copy_jars.shスクリプトを実行します。例:

cd $OIM_HOME/server/wasconfig
./copy_jars.sh

注意:

copy_jars.shスクリプトを実行する前に、変数WAS_HOME、COMMON_COMPONENTS_HOME、およびOIM_ORACLE_HOMEが設定されていることを確認します。COMMON_COMPONENTS_HOMEは、Oracle Fusion Middleware共通ディレクトリの場所を表します(例: MW_HOME/oracle_common)。また、OIM_ORACLE_HOMEは、Oracle Identity Manager Serverがインストールされたディレクトリを表します(MW_HOME/Oracle_IDM1)。WAS_HOMEは、WebSphereがインストールされたディレクトリを表します(例: IBM/WebSphere/AppServer)。

3. 次のように、ノード・エージェントの起動、停止、および同期を実行します。

$WAS_HOME/profiles/Custom01/bin/stopNode.sh -username USER_NAME -password PASSWORD
$WAS_HOME/profiles/Dmgr01/bin/startManager.sh
$WAS_HOME/profiles/Custom01/bin/syncNode.sh DMGR_HOST DMGR_SOAP_PORT -username USER_NAME -password PASSWORD
$WAS_HOME/profiles/Custom01/bin/startNode.sh

注意:

ノード・マネージャとデプロイメント・マネージャが問題なく起動され、実行中であることを確認します。

4. 次のようにDBポリシー・ストアを構成するために、ノード・マネージャとデプロイメント・マネージャを停止します。

$WAS_HOME/profiles/Custom01/bin/stopNode.sh -username USER_NAME -password PASSWORD
$WAS_HOME/profiles/Dmgr01/bin/stopManager.sh -username USER_NAME -password PASSWORD

5. 第2.9項「タスク9: データベース・セキュリティ・ストアの構成」を参照して、データベース・ポリシーの移行を実行します。

6. デプロイメント・マネージャを起動します。これを行うには、IBM WebSphereホームで次のコマンドを実行します。
UNIXの場合は、次を実行します。

profiles/dmgr_profileName/bin/startManager.sh

Windowsの場合は、次を実行します。

profiles\dmgr_profileName\bin\startManager.bat

たとえば、UNIXオペレーティング・システムの場合は、次を実行します。

/disk01/IBM/WebSphere/AppServer/profiles/Dmgr01/bin/startManager.sh

7. 次のコマンドを実行して、ノード・マネージャを起動します。

$WAS_HOME/profiles/Custom01/bin/startNode.sh

8. 次のようにseed_opss_permission.shスクリプトを実行します。

cd OIM_HOME/server/wasconfig/
sh seed_opss_permission.sh

注意:

- seed_opss_permission.shスクリプトを実行する前に、変数WAS_HOME、COMMON_COMPONENTS_HOMEおよびOIM_ORACLE_HOMEが設定されていることを確認します。COMMON_COMPONENTS_HOMEは、Oracle Fusion Middleware共通ディレクトリの場所を表します(例: IDM_HOME/oracle_common/)。OIM_ORACLE_HOMEは、Oracle Identity Manager Serverがインストールされたディレクトリを表します。

- スクリプトにより、次の値の入力が求められます。

Enter Deployment Manager Profile Name [Ex: Dmgr01]:
Enter Deployment Manager host name:
Enter Deployment Manager SOAP Port:
Enter Webpshere Administrator username:
Enter the Webpshere Administrator password:

- seed_opss_permission.shスクリプトを実行する際に、次の警告メッセージが表示されることがありますが、無視して構いません。

Failed to import script libraries modules: COMMON_COMPONENTS_HOME/common/wsadmin/wsmAgent.py; Examine the wsadmin log file to determine the problem.

9. ノードの停止、同期、起動を実行し、SOAサーバーを起動します。例:

$WAS_HOME/profiles/Custom01/bin/stopNode.sh -username WAS_ADMIN_USER_NAME -password WAS_ADMIN_PASSWORD
$WAS_HOME/profiles/Custom01/bin/syncNode.sh DMGR_HOST DMGR_SOAP_PORT WAS_ADMIN_USER_NAME -password WAS_ADMIN_PASSWORD
$WAS_HOME/profiles/Custom01/bin/startNode.sh
$WAS_HOME/profiles/Custom01/bin/startServer.sh soa_server1

10. Oracle Universal Installer構成アシスタントを使用して、Oracle Identity Manager Server、Design Consoleおよびリモート・マネージャを構成します。
次のように構成アシスタントを起動します。

cd $OIM_HOME/bin
./config.sh -jreLoc LOCATION_OF_IBM_JRE -DSHOW_APPSERVER_TYPE_SCREEN=true

注意:

Oracle Identity Managerコンポーネントがインストールされたすべてのマシン上で構成アシスタントを実行する必要があります。たとえば、Oracle Identity Managerサーバーをホストするマシン、Oracle Identity Manager Design Consoleをホストするマシン、Oracle Identity Managerリモート・マネージャをホストするマシンのそれぞれに実行します。

「構成するコンポーネント」画面で、構成するコンポーネントを選択します。「データベース」画面で、Oracle Identity ManagerおよびMDSスキーマの接続文字列、ユーザー名およびパスワードを指定します。

表4-2に、具体的な構成アシスタント画面とそれぞれの画面に入力する情報を示します。この表には、説明を必要としない標準的な画面は含まれません。

表4-2 具体的な構成アシスタント画面の説明

画面名

入力内容

アプリケーション・サーバー

必ず、WebSphereを選択してください。

WebSphere ASの詳細

- WASセル・ホームの場所は次のとおりです。

$WAS_HOME/profiles/Dmgr01/config/cells/CELL_NAME

- WAS Admin URLポートは、次のファイルのManagement bootstrap portエントリから識別できます。

$WAS_HOME/profiles/Dmgr01/logs/AboutThisProfile.txt

- WAS Admin Soap Portは次のファイルから識別できます。

$WAS_HOME/profiles/Dmgr01/logs/AboutThisProfile.txt

- WAS Admin NameとWAS Admin Passwordセルの作成に使用したものと同じです。

OIMサーバー

OIM HTTP URLフィールドに指定されたデフォルト値を使用します。

11. OIMサーバーの詳細ページで、OIMサーバーの管理パスワード、キーストア・パスワードおよびURL情報を入力します。構成が完了するまで続けます。

12. wf_client_config.xml.templateを$OIM_HOME/server/wasconfig/ディレクトリから$WAS_HOME/lib/extにwf_client_config.xmlとしてコピーします。例:
cp $OIM_HOME/server/wasconfig/wf_client_config.xml.template $WAS_HOME/lib/ext/wf_client_config.xml

wf_client_config.xmlファイルの<serverURL>タグの下にSOAサーバーのホスト名とブートストラップ・ポートを指定して更新します。例:

<serverURL>corbaloc:iiop:localhost:2800</serverURL>

ヒント:

SOAブートストラップ・ポートは、次の手順を実行することにより識別できます。

1. IBM WebSphere管理コンソールにログインします。

2. 「Servers」→「Server Type」→「Web Application Servers」を選択します。

3. SOAサーバー名をクリックします。

4. 通信グループ領域で「Ports」をクリックします。
BOOTSTRAP_ADDRESSの値がSOAサーバー・ブートストラップ・ポートです。

13. サーバーが実行中の場合は、それを停止します。例:

$WAS_HOME/profiles/Custom01/bin/stopServer.sh soa_server1 -username WAS_ADMIN_USERNAME -password WAS_ADMIN_PASSWORD
$WAS_HOME/profiles/Custom01/bin/stopNode.sh -username WAS_ADMIN_USERNAME -password WAS_ADMIN_PASSWORD
$WAS_HOME/profiles/Dmgr01/bin/stopManager.sh -username WAS_ADMIN_USERNAME -password WAS_ADMIN_PASSWORD

14. サーバーを起動します。例:

注意:

必ずsyncNodeを実行してください。これによりxldatabasekeyがCustom01プロファイルに転送されます。

$WAS_HOME/profiles/Dmgr01/bin/startManager.sh
$WAS_HOME/profiles/Custom01/bin/syncNode.sh DMGR_HOST DMGR_SOAP_PORT -username WAS_ADMIN_USERNAME -password WAS_ADMIN_PASSWORD
$WAS_HOME/profiles/Custom01/bin/startNode.sh
$WAS_HOME/profiles/Custom01/bin/startServer.sh soa_server1
$WAS_HOME/profiles/Custom01/bin/startServer.sh oim_server1
$WAS_HOME/profiles/Custom01/bin/startServer.sh OracleAdminServer

15. Oracle Identity Manager管理者ユーザーがWebSphere管理者ユーザーと異なる場合は、次の手順を実行します。

1. Enterprise Fusion Middleware Controlのナビゲータ・ペインで、「WebSphereセル」を開き、セルを表示します。

2. Oracle Identity ManagerおよびSOAが構成されたセルを選択します。

3. セル名を右クリックして「Webサービス」→「プラットフォーム・ポリシー構成」を選択します。

4. 「新規構成プロパティの追加」ウィンドウで、次の値を指定して「OK」をクリックします。

- 「名前」フィールドにjndi.lookup.csf.keyと入力します。

- 「値」フィールドにadmin-csf-keyと入力します。

5. .pyファイルを作成します。たとえば、次の内容のwas_admin.pyファイルを作成します。

Opss.createCred (map='oracle.wsm.security', key='admin-csf-key',
user='ADMIN_USER_NAME', password='ADMIN_PASSWORD',
desc='wsm-pm admin user csf-key')
AdminApp.edit ('wsm-pm', '[-MapRolesToUsers [[policy.Updater
AppDeploymentOption.No AppDeploymentOption.No ADMIN_USER_NAME ""
AppDeploymentOption.No "user:ADMIN_USER_NAME" "" ]]]')
AdminApp.edit('wsm-pm', '[ -MapRolesToUsers [[policy.Accessor
AppDeploymentOption.No AppDeploymentOption.No ADMIN_USER_NAME ""
AppDeploymentOption.No " |user:ADMIN_USER_NAME" "" ]]]' )
AdminApp.edit('wsm-pm', '[ -MapRolesToUsers [[policy.User
AppDeploymentOption.No AppDeploymentOption.No ADMIN_USER_NAME ""
AppDeploymentOption.No "user:ADMIN_USER_NAME" "" ]]]' )
AdminApp.edit('wsm-pm', '[ -MapRolesToUsers [[policyViewer
AppDeploymentOption.No AppDeploymentOption.No ADMIN_USER_NAME ""
AppDeploymentOption.No " |user:ADMIN_USER_NAME" "" ]]]' )
AdminConfig.save()

ADMIN_USER_NAMEとADMIN_PASSWORDを管理ユーザーの資格証明で置き換えます。

6. 次のスクリプトを実行します。

$COMMON_COMPONENTS_HOME/common/bin/wsadmin.sh
-profileName DMGR_PROFILE_NAME -conntype SOAP -host DMGR_HOSTNAME -port DMGR_SOAP_PORT -user WEBSPHERE_ADMIN -password WEBSPHERE_ADMIN_PASSWORD -f was_admin.py

7. すべてのサーバーを再起動します。

4.3.1 Design Consoleのインストールと構成

次の手順はDesign Consoleをインストールしてから起動するまでの間に実行します。

Microsoft Windows上にDesign Consoleをインストールするには:

1. IBMドキュメントを参照しながらAppクライアントをインストールします。

2. IBMドキュメントを参照しながらフィックス・パックをインストールします。

3. WAS_CLIENT_HOME/properties/sas.client.propsファイルで次のプロパティを更新します。
次のように値を編集します。com.ibm.CORBA.securityServerPortは、Oracle Identity Managerブートストラップ・ポートを表すことに注意してください。

com.ibm.CORBA.securityServerHost=OIM_HOSTNAME
com.ibm.CORBA.securityServerPort=OIM_BOOTSTRAP_PORT
com.ibm.CORBA.loginSource=none

4. Design ConsoleをMicrosoft Windows上にインストールします。これを行うには:

注意:

Appclientがインストールされていることを確認します。

1. インストーラを実行して、Oracle Identity Managerをインストールします。これを行うには、Windowsでコマンド・プロンプトを開き、次のようにOracle Identity Managerインストーラを実行します。

c:\setup.exe -jreLoc LOCATION_OF_IBM_JDK

2. 次のように構成アシスタントを起動します。

cd $OIM_HOME/bin >config.bat -jreLoc LOCATION_OF_IBM_JDK -enableWAS

3. 以下を構成します。

- Design Consoleを選択します。

- Oracle Identity Managerのホスト名とポート番号を入力します。

ヒント:

ポート番号は、Oracle Identity Managerサーバーのブートストラップ・アドレスです。これをチェックする方法は次のとおりです。

1. WebSphere Network Deployment Manager Consoleにログインします。

2. 「Server」→「Server Type」→「WebSphere application server」→「oim_server」→「Expand Port」を選択します。

3. BOOTSTRAP_ADDRESSポートをチェックします。

4. ウィザードが終了するまで続けます。

4.3.2 (オプション)別のシステムへのOracle Identity Managerリモート・マネージャのインストール

Oracle Identity Managerのインストールの一環としてOracle Identity Managerリモート・マネージャをインストールするときに、リモート・マネージャはOracle Identity Managerと同じホストにインストールされます。典型的なOracle Identity Manager環境では、リモート・マネージャはOracle Identity Managerと同じホストでなく、別のホストに配備されます。

必要があれば、次の手順を実行してリモート・マネージャを別のシステムにインストールできます。

注意:

WebSphereアプリケーション・サーバーがインストールされていることを確認します。また、リモート・マネージャ用の別のシステムにIBM JREがインストールされていることを確認します。インストールされていない場合は、それをインストールします。

1. 次のコマンドを使用してインストーラを起動します。

cd iamsuite/Disk1
./runInstaller -jreLoc LOCATION_OF_IBM_JRE

注意:

「ソフトウェア更新のインストール」インストーラ画面が表示されたら、「ソフトウェアの更新のスキップ」オプションを選択する必要があります。

2. 次のように構成アシスタントを起動します。

cd $OIM_HOME/bin >./config.sh -jreLoc LOCATION_OF_IBM_JDK -DSHOW_APPSERVER_TYPE_SCREEN=true

3. 「構成するコンポーネント」ページで、「リモート・マネージャ」を選択します。

4. アプリケーション・サーバーとしてWebSphereを選択します。

5. OIMサーバー・ホストおよびポート情報を指定します。「リモート名」、「リスニング・ポート」の番号、「RMIポート」の番号を指定します。

6. ウィザードが終了するまで続けます。

4.4 IBM WebSphereでのインストール後の構成の実行

この項では、IBM WebSphereで実行する次のインストール後の構成タスクについて説明します。

- 「Transaction Timeout」プロパティの構成

- SOAサーバーのデフォルト・コンポジットの更新(クラスタのみ)

- ダイナミック・モニタリング・サービス・アプリケーションへのアクセス(オプション)

- LDAPリコンシリエーション・スケジュール済ジョブのデータベース・スキーマへのシード

- Oracle Identity Managerのメモリー設定の変更

4.4.1 トランザクション・タイムアウト・プロパティの構成

トランザクション・タイムアウト・プロパティを10分に変更するには:

1. IBM WebSphere管理コンソールにログインします。

2. 「Servers」→「Server Type」→「WebSphere application servers」→「oim_server_name」→「Container Services」→「Transaction service」の順に選択して、「Transaction service」パネルを表示します。

3. 「Total transaction lifetime timeout」の値を600に変更します。
デフォルト値は120です。

4. 「Maximum transaction timeout」の値を600秒に変更します。
デフォルト値は300です。

5. WebSphereアプリケーション・サーバーを停止し、再起動します。クラスタ・デプロイメントでは、これをすべてのOracle Identity Managerサーバーに実行する必要があります。

4.4.2 SOAサーバーのデフォルト・コンポジットの更新(クラスタのみ)

統合環境では、Oracle Identity ManagerはHTTPサーバーによってフロントエンド処理されます。このため、すべてのSOAサーバーのデフォルト・コンポジットを更新する必要があります。

SOAサーバーのデフォルト・コンポジットを更新するには:

1. Oracle Enterprise Manager Fusion Middleware Controlコンソールにログインします。

2. 「SOA」→「soa-infra」 (SOAサーバー名)→「default」にナビゲートします。
使用可能なデフォルト・コンポジットは、DefaultRequestApproval、DefaultOperationalApproval、DefaultRoleApproval、DefaultSODApproval、BeneficiaryManagerApproval、RequesterManagerApproval、CertificationProcess、DisconnectedProvisioningです。

3. デフォルトのコンポジットごとに、次の手順を実行します。

1. コンポジット名をクリックします。

2. 「Component Metrics」から、「Human Workflow」のコンポーネント・タイプを持つタスクをクリックします。

3. 「Administration」タブを選択し、次のようにフィールドを更新します。
Host Name: HTTP Serverホスト

HTTP Port: SSLモードの場合、空白のままにします。SSL以外のモードの場合は、HTTPサーバー・ポートを入力します。

HTTPS Port: SSLモードの場合は、HTTPSサーバー・ポートを入力します。SSL以外のモードの場合、空白のままにします。

4. 「Apply」をクリックします。

4.4.3 ダイナミック・モニタリング・サービス・アプリケーションへのアクセス(オプション)

IBM WebSphere上でダイナミック・モニタリング・サービス・アプリケーションにアクセスするには:

1. IBM WebSphere管理コンソールに管理者としてログインします。

2. 左側のペインで、「Applications」→「Application Type」→「WebSphere enterprise applications」の順に進みます。

3. 右側のペインで、「Dmgr DMS Application_11.1.1.1.0」をクリックします。

4. 「Security role to user/group mapping」をクリックします。

5. 「Admin」ロールを選択して、「Map Users」をクリックします。

6. 検索文字列にwasadminと入力して、「Search」をクリックします。

7. 「Available」ボックスで「wasadmin」を選択して、右矢印をクリックします。

8. 「OK」クリックすると戻ります。再度「OK」をクリックします。

9. 「Save directly to the master configuration」をクリックします。

10. Dmgr DMS Application_11.1.1.1.0を起動します。

11. DMS Application_11.1.1.1.0に手順3 - 10を繰り返します。

12. すべてのサーバーとデプロイメント・マネージャを停止します。デプロイメント・マネージャの起動、ノードの同期、ノードの起動、すべてのサーバーの起動を実行します。

次のURLからDMSアプリケーションにアクセスできます。

http://OIM_HOST:OIM_PORT/dms/Spy

4.4.4 LDAPリコンシリエーション・スケジュール済ジョブのデータベース・スキーマへのシード

インストール後のLDAP同期をOracle Identity Managerに対して構成している間に、次の手順を実行してLDAPリコンシリエーション・スケジュール済ジョブをOracle Identity Managerデータベース・スキーマのQuartz表にロードします。

関連資料:

Oracle Identity ManagerのLDAP同期のインストール後の構成は、『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』のOracle Identity ManagerでのLDAP同期の有効化に関する項を参照してください。

1. 前提条件として、OIM_ORACLE_HOME環境変数を設定してください。例:
Microsoft Windowsの場合は、次のコマンドを実行してOIM_ORACLE_HOME環境変数をC:\Oracle\Middleware\Oracle_IDM1ディレクトリに設定します。

set OIM_ORACLE_HOME=C:\Oracle\Middleware\Oracle_IDM

UNIXでは、次のコマンドを実行します。

setenv OIM_ORACLE_HOME /u01/mwhome/Oracle_IDM

2. LDAPリコンシリエーション・スケジュール済ジョブのシードは、次の内の1つの方法で実行できます。
LDAPリコンシリエーション・スケジュール済ジョブのパラメータによるシード

1. $OIM_ORACLE_HOME/server/setup/deploy-filesディレクトリに移動します。

2. antのホームを設定します。以下に、antのホームを設定するコマンドの例を示します。
UNIXの場合

setenv ANT_HOME /u01/mwhome/modules/org.apache.ant_1.7.1

Microsoft Windowsの場合

set ANT_HOME=/u01/mwhome/modules/org.apache.ant_1.7.1

注意:

ANTがインストールされていない場合は、次のURLのOracle Technology Network (OTN) WebサイトからANTをダウンロードします。

http://www.oracle.com/technetwork/index.html

ANTをインストールして、ANT_HOMEを設定します。ant実行ファイルが、$ANT_HOME/bin/ant/ディレクトリにあることを確認します。

3. パラメータを設定してantコマンドを実行します。

$ANT_HOME/bin/ant -f setup.xml seed-ldap-recon-jobs -DoperationsDB.driver=oracle.jdbc.OracleDriver -DoperationsDB.user=SCHEMA_OWNER -DOIM.DBPassword=SCHEMA_OWNER_PASSWORD -DoperationsDB.host=SCHEMA_HOST_ADDRESS -DoperationsDB.port=SCHEMA_PORT_NUMBER -DoperationsDB.serviceName=SCHEMA_SERVICE_NAME -Dssi.provisioning=ON -Djta.location=WAS_INSTALATION_DIR/plugins/javax.j2ee.jta.jar -Dojdbc.location=OJDBC_LOCATION -Dwork.dir=seed_logs

例:

$ANT_HOME/bin/ant -f setup.xml seed-ldap-recon-jobs -DoperationsDB.driver=oracle.jdbc.OracleDriver  -DoperationsDB.user=schemaowner1_OIM -DOIM.DBPassword=SCHEMA_OWNER_PASSWORD -DoperationsDB.host=myhost.mycompany.com -DoperationsDB.port=1234 -DoperationsDB.serviceName=oimdb.regress.rdbms.mycompany.com -Dssi.provisioning=ON -Djta.location=WAS_INSTALATION_DIR/plugins/javax.j2ee.jta.jar -Dojdbc.location=MW_HOME/oracle_common/inventory/Scripts/ext/jlib/ojdbc6.jar -Dwork.dir=seed_logs

LDAPリコンシリエーション・スケジュール済ジョブのプロファイル・ファイルによるシード

1. 次の環境変数を設定します:

- OIM_ORACLE_HOMEをOIM_HOMEディレクトリ。

- ANT_HOMEをANTがインストールされているディレクトリに設定します。

注意:

ANTがインストールされていない場合は、次のURLのOracle Technology Network (OTN) WebサイトからANTをダウンロードします。

http://www.oracle.com/technetwork/index.html

ANTをインストールして、ANT_HOMEを設定します。ant実行ファイルが、$ANT_HOME/bin/ant/ディレクトリにあることを確認します。

2. $OIM_ORACLE_HOME/server/bin/ディレクトリに移動します。

3. 表4-3にリストされたプロパティを使用してプロパティ・ファイルを作成します。

注意:

プロパティ・ファイルを新規に作成するかわりに、appserver.profileを使用することもできます。この手順にリストされたプロパティに値が設定されていることを確認します。

表4-3 プロパティ・ファイルのパラメータ

パラメータ

説明

operationsDB.user

Oracle Identity Managerデータベース・スキーマの所有者

operationsDB.driver

oracle.jdbc.OracleDriverの定数値

operationsDB.host

Oracle Identity Managerデータベース・スキーマのホスト・アドレス

OIM.DBPassword

Oracle Identity Managerデータベース・スキーマの所有者のパスワード

operationsDB.serviceName

Oracle Identity Managerデータベース・スキーマ・サービス名(例: oimdb.regress.rdbms.mycompany.com)。

operationsDB.port

Oracle Identity Managerデータベース・スキーマのポート番号

ssi.provisioning

値はONでなければなりません。

jta.location

値は、WAS_INSTALLATION_DIRECTORY/plugins/javax.j2ee.jta.jarです。

ojdbc.location

JDBCがインストールされるディレクトリ。例: MW_HOME/oracle_common/inventory/Scripts/ext/jlib/ojdbc6.jar

work.dir

ログ・ファイルを作成する任意のディレクトリ。

ターゲットの完了後に、$WORK_DIR/seed_logs/ldap/SeedSchedulerData.logファイルでログをチェックできます。

4. $OIM_ORACLE_HOME/server/setup/deploy-files/ディレクトリに移動します。

5. 次のコマンドを実行します。

$ANT_HOME/bin/ant -f setup.xml seed-ldap-recon-jobs -propertyfile $OIM_ORACLE_HOME/server/bin/PROPERTY_FILE_NAME

4.4.5 Oracle Identity Managerのメモリー設定の変更

Oracle Identity Managerのステージングおよびテスト・デプロイメントには、最大ヒープ・サイズとして2GBをお薦めします。本番デプロイメントの最大ヒープ・サイズは、『Oracle Fusion Middlewareパフォーマンスおよびチューニング・ガイド』を参照してください。

WebSphere上のOracle Identity Managerのヒープ・サイズを変更するには:

1. WebSphere管理コンソールにログインします。

2. 「Servers」→「Server Type」→「WebSphere application servers」→「server_name」→「Java & Process Management」→「Process Definition」→「Java Virtual Machine」の順にナビゲートします。

3. 最大ヒープ・サイズの値を2048に設定します。

4. 変更を保存してサーバーを再起動します。

4.5 IBM WebSphere上でのOracle Identity Managerのアップグレード

この項では、IBM WebSphere上でOracle Identity Manager Release 9.xをOracle Identity Manager 11g リリース2 (11.1.2.1.0)にアップグレードし、構成するために必要な手順を説明します。この章の内容は、次のとおりです。

- アップグレードのための前提条件

- Oracle Identity Managerのインストール

- Oracle Identity Managerスキーマのアップグレード

- Oracle Identity Managerの構成

- 構成後モードでMTアップグレード・ユーティリティを使用したアップグレード機能

- アップグレード後の構成の実行

4.5.1 アップグレードの前提条件

IBM WebSphere上でOracle Identity Managerリリース9.xを11gリリース2 (11.1.2.1.0)にアップグレードする前に、次の事項を確認します。

- WAS_HOMEにIBM WebSphere Application Server 7.0.0修正パック19がインストールされている。

- MiddlewareディレクトリにSOAがインストールされている。

- Oracle Database 11gに、MDS、SOAINFRA、OPSS、ORASDPMなどのOracle Identity Manager依存スキーマが作成されている。

次の前提となる手順を実行します。

1. PreUpgradeReportユーティリティを実行します。
アップグレード・プロセスを開始する前にOracle Identity Manager環境を分析するには、PreUpgradeReportユーティリティを実行する必要があります。提供されたソリューションを使用してこのレポートの一部にリストされたすべての問題に対処します。問題の修正後は、レポートにリストされる未解決の問題がなくなるまでレポートを実行します。PreUpgradeReportユーティリティの実行は、『Oracle Fusion Middleware Oracle Identity and Access Managementアップグレードおよび移行ガイド』のアップグレード前に関する項を参照してください。

2. IBM WebSphereアプリケーション・サーバーのインストール
IBM WebSphere Application Server 7.0のインストールとIBM WebSphere 7.0用の最新の修正パックの適用は、第2.4項「タスク4: IBM WebSphereソフトウェアのインストール」を参照してください。

3. Oracle SOA Suite (11.1.1.6.0)をインストールします。
SOA Suiteのインストールの詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle SOA Suite 11.1.1.6.0 (Oracle Identity Managerユーザーのみ)に関する項を参照してください。

4. データベース・スキーマを作成します。
Oracle Identity Managerのインストールと構成を実行する前に、リポジトリ作成ユーティリティ(RCU)を使用して適切なOracle Fusion Middlewareスキーマを作成し、データベースにロードする必要があります。詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Fusion Middlewareリポジトリ作成ユーティリティ(RCU)を使用したデータベースの作成に関する項を参照してください。

4.5.2 Oracle Identity Managerのインストール

Oracle Identity and Access Managementインストーラを実行して、Oracle Identity and Access Management 11gの一部としてOracle Identity Managerをインストールします。これを行うには、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』の次の項に示された手順に従います。

- Oracle Identity and Access Managementインストーラの起動

- Oracle Identity and Access Management (11.1.2)のインストール

4.5.3 Oracle Identity Managerスキーマのアップグレード

始める前に

- Oracle Identity Managerリリース9.xスキーマのバックアップを作成します。

- OSIデータ・アップグレード・ユーティリティを使用してOSIデータ・アップグレードを実行します。OSIデータ・アップグレード・ユーティリティの実行の詳細は、次のURLの技術ノートID 1303215.1「OSI Data Upgrade Utility for Upgrading OIM 9.1.0.x to OIM 11g Version」を参照してください。
https://support.oracle.com

- JAVA_HOME環境変数を設定します。

Oracle Identity Managerリリース9.xスキーマを11gリリース2 (11.1.2.1.0)にアップグレードするには:

1. 次のコマンドを実行して、Oracle Fusion Middlewareのアップグレード・アシスタントを起動します。

./ua

Oracle Fusion Middlewareのアップグレード・アシスタント・ウィザードの「ようこそ」ページが表示されます。

2. 「次へ」をクリックします。ウィザードの「操作の指定」ページが表示されます。

3. 「Oracle Identity Managerスキーマのアップグレード」オプションを選択して、「次へ」をクリックします。

4. 「前提条件」ページで、すべてのチェック・ボックスを選択して、前提条件を満たしていることを指定します。「次へ」をクリックします。

5. 「OIMデータベースの指定」ページで、Oracle Identity Managerソース・データベースの接続情報を入力して、「次へ」をクリックします。

- ホスト: データベースのデプロイ先のホストの名前。

- ポート: ホスト・フィールドで識別されるホストに接続するポート番号。

- サービス名: インストールまたはデータベースの作成時に入力された、データベース名とドメイン名の組合せであるグローバル・データベース名の文字列。

- OIMスキーマ: Oracle Identity Manageスキーマの名前。

- SYSパスワード: データベース・システム管理者のパスワード。

6. 「コンポーネントのアップグレード」ページの進捗バーに、スキーマのアップグレードの進捗状況が表示されます。アップグレード・コンポーネントのステータスも表示されます。終了したら、「次へ」をクリックします。

7. 「アップグレード・サマリー」ページでアップグレード・コンポーネント名を開くとアップグレードのサマリー情報が表示されます。終了したら、「アップグレード」をクリックします。

注意:

スキーマのアップグレードが終了したら、次のステップに進む前にワークフローのアップグレードを無効にする必要があります。ワークフローのアップグレードを無効にするには、次のSQLコマンドを実行します。

update upgrade_feature_state set IS_FEATURE_UPGRADED='Y',FEATURE_UPGRADE_STATE='UPGRADED' where FEATURE_ID = 'OIM91UPG.Workflow'

4.5.4 Oracle Identity Managerの構成

次の手順を手動で実行して、Oracle Identity Managerを構成する必要があります。

- セルの作成と構成

- 手動構成手順の実行

- CSFシードのアップグレード

- Oracle Identity Managerコンポーネントのアップグレード

4.5.4.1 セルの作成と構成

Oracle Identity Manager 11gリリース2 (11.1.2.1.0)コンポーネントでのセルの作成と拡張

1. 次のコマンドを実行してFusion Middleware構成ウィザードを起動します。

cd $OIM_ORACLE_HOME/common/bin
./was_config.sh -log=config.log -log_priority=debug

Fusion Middleware構成ウィザードの「構成オプションの選択」ページが表示されます。

2. 「セルの作成と構成」オプションを選択して、「次へ」をクリックします。

3. 「セル、プロファイルおよびノード名の情報を指定してください」ページでデフォルト名または新しい名前を指定できます。次の値を入力して、「次へ」をクリックします。

- セル名: HOST_NAMECell01

- デプロイメント・マネージャ・プロファイル名: Dmgr01

- デプロイメント・マネージャ・ノード名: HOST_NAMECellManager01

- アプリケーション・サーバー・プロファイル名: Custom01

- アプリケーション・サーバー・ノード名: HOST_NAMENode01

4. 「デプロイメント・マネージャ情報の指定」ページでWebSphere管理者のユーザー名とパスワードを入力します。ここに指定されたWebSphere管理者のユーザー名とパスワードは、Oracle Identity Manager UIへのログインと後の構成手順で使用されます。
「次へ」をクリックします。

5. 「セルへの製品追加」ページでセルに追加する製品を選択します。WAS NDのインストールには、正しいWAS NDテンプレートを選択します。WAS ASテンプレートではありません。終了したら、「次へ」をクリックします。

6. 「JDBCコンポーネント・スキーマの構成」ページで、接続テストが成功したこと確認します。構成ウィザードがデータベースに接続できない場合は、エラーが表示されなくても、WASファイルが正しく生成されなかった可能性があります。
「次へ」をクリックします。

7. 「JDBCコンポーネント・スキーマのテスト」ページが表示されるまで、「次へ」をクリックしてインストール手順を継続します。
Oracle Identity Managerテンプレートおよび依存テンプレートにより3つのサーバー、oim_server1、soa_server1、OracleAdminServerが作成されます。oim、Nexaweb、OIMMetadata、XIMDDアプリケーションがoim_server1にデプロイされます。

4.5.4.2 手動構成手順の実行

copy_jars.sh, seed_opss_permission.sh, and configure_nodeagent.shスクリプトを実行する前に、次の変数が設定されていることを確認します。これにより、環境変数の入力を求めるプロンプトを避けることができます。

- DMGR_PROFILE_ROOT: WebSphereデプロイメント・マネージャのプロファイル・ディレクトリ。例: /opt/softwares/IBM/WebSphere/AppServer/profiles/Dmgr01/

- OIM_ORACLE_HOME : 表4-1「このドキュメントで使用される表記法」を参照してください。

- WEBSPHERE_ADMIN : WebSphere管理者のユーザー名。

- WEBSPHERE_ADMIN_PASSWORD : WebSphere管理者のパスワード。

- CELL_HOME_LOCATION : WebSphereセルのホーム・ディレクトリの場所。例: /opt/softwares/IBM/WebSphere/AppServer/profiles/Dmgr01/config/cells/HOST_NAMECell01

- DMGR_PROFILE_NAME : WebSphereデプロイメント・マネージャのプロファイル名。例: Dmgr01

- DMGR_HOSTNAME : WebSphereデプロイメント・マネージャのホスト名

- DMGR_SOAP_PORT : WebSphereデプロイメント・マネージャのSOAPポート

- WAS_HOME: 表4-1「このドキュメントで使用される表記法」を参照してください。

- COMMON_COMPONENTS_HOME : Oracle Middleware共通ディレクトリ。例: /opt/softwares/IBM/WebSphere/oracle_common

構成アシスタントを使用する前に、手動の構成手順を実行するには:

1. 次のコマンドを実行して、JARファイルを$WAS_HOME/lib/ext/にコピーします。

./copy_jars.sh

2. 次のように、ノード・エージェントの起動、停止、および同期を実行します。

$WAS_HOME/profiles/Custom01/bin/stopNode.sh -username USER_NAME -password PASSWORD
$WAS_HOME/profiles/Dmgr01/bin/startManager.sh
$WAS_HOME/profiles/Custom01/bin/syncNode.sh DMGR_HOST DMGR_SOAP_PORT -username USER_NAME -password PASSWORD
$WAS_HOME/profiles/Custom01/bin/startNode.sh

セルの作成に使用したユーザー名とパスワードを使用します。ノードの同期中に使用されるポート番号は$WAS_HOME/profiles/DMGR/logs/AboutThisProfile.txtファイルから入手できます。

3. OIM_HOME/server/wasconfig/ディレクトリに移動して、次のコマンドを実行します。

sh seed_opss_permission.sh

および:

sh configure_nodeagent.sh

注意:

seed_opss_permission.shスクリプトの実行により次のエラー・メッセージが生成されます。

WASX7487E: Failed to import script libraries modules:
/u02/Oracle/Middleware/oracle_common/common/wsadmin/wsmAgent.py; Examine the wsadmin log file to determine the problem.

これは安全なエラーなので、無視できます。

4. 次のようにノードの停止、同期、起動を実行します。

$WAS_HOME/profiles/Custom01/bin/stopNode.sh -username USER_NAME -password PASSWORD
$WAS_HOME/profiles/Custom01/bin/syncNode.sh DMGR_HOST DMGR_SOAP_PORT -username USER_NAME -password PASSWORD
$WAS_HOME/profiles/Custom01/bin/startNode.sh
$WAS_HOME/profiles/Custom01/bin/startServer.sh SOA_SERVER

セルの作成に使用した同一ユーザー名とパスワードを使用します。

4.5.4.3 CSFシードのアップグレード

構成前モードでMTアップグレード・スクリプトを実行して、CSFシードをアップグレードするには:

1. 前提条件として以下を実行します。

- .xldatabasekeyをWAS_HOME/profiles/Dmgr/config/cells/HOST_NAMECell/fmwconfig/ディレクトリにコピーします。

- MW_HOME/Oracle_IDM1/server/bin/upgrade_was.propertiesファイルに正しい入力プロパティを指定します。表4-4には、入力プロパティとサンプル値がリストされています。

表4-4 upgrade_was.propertiesのサンプル入力値

入力プロパティ

サンプル値

Oracle Identity Managerリリース9.xホームの場所

oim91Home=/scratch/oim9101was/xellerate

Oracle Identity ManagerスキーマのJDBC URL

oimSchemaJDBCURL=HOST_NAME:PORT:oimdb

Oracle Identity Managerスキーマ名

oimSchemaName=oim91011

Oracle Identity Manager MDSスキーマのJDBC URL

mdsSchemaURL=HOST_NAME:PORT:oimdb

Oracle Identity Manager MDSスキーマ

mdsSchemaName=Sample_MDS

Oracle OIMホーム

oracleOIMHome=/scratch/wasr2install/mw/Oracle_IDM1

Middlewareホーム

middleWareHome=/scratch/wasr2install/mw

SOAホスト名

soaHost=soahost.mycompany.com

SOAポート番号

soaPort=PORT_NUMBER

SOAユーザー名

soaUserName=wasadmin

WASドメイン・マネージャ・セルのホーム

wasCellHome=/scratch/wasr2install/was/profiles/Dmgr03/config/cells/HOST_NAMECell02

構成前モードのMT

CSFSeed=true

CSFSeed=trueの場合、MTは構成前モードで実行され、次のプロパティが設定されます。

PRE_OIM_CONFIG=true
POST_OIMCONFIG=false

注意:

WAS_HOME/profiles/Dmgr03/properties/portdef.propsファイルには、特定のセルに適したすべてのポート番号が含まれています。

- JAVA_HOMEおよびAPPSERVER_TYPE環境変数を設定します。JAVA_HOMEはIBM_JDKをポイントする必要があります。

2. MW_HOME/Oracle_IDM1/server/bin/ディレクトリに移動して、次のようにOIMMTUpgrade_WS.shを実行します。

export JAVA_HOME=/scratch/wasr2install/was/java/
export APPSERVER_TYPE='was'
./OIMMTUpgrade_WS.sh

注意:

このスクリプトのログ・ファイルは、MW_HOME/Oracle_IDM1/server/upgrade/logs/MT/ua-TIME_STAMP.logです。

4.5.4.4 Oracle Identity Managerコンポーネントのアップグレード

構成アシスタントを実行して、Oracle Identity Managerコンポーネントをアップグレードするには:

1. 次のコマンドを実行して、構成アシスタントを起動します。

cd $OIM_HOME/bin
./config.sh -jreLoc LOCATION_OF_IBM_JDK -DSHOW_APPSERVER_TYPE_SCREEN=true

2. Oracle Identity Management構成ウィザードの「構成するコンポーネント」ページで、Oracle Identity Managerを開き、「OIMサーバー」を選択します。次に、「次へ」をクリックします。

3. 「データベース」ページで、データベース接続文字列とスキーマ情報を入力します。終了したら、「次へ」をクリックします。

4. 「アプリケーション・サーバー」ページで、WebSphereが選択されていることを確認します。次に、「次へ」をクリックします。

注意:

SOAホームがすでにインストールされ、タイプがWebSphereに設定されている場合、アプリケーション・サーバー・タイプがデフォルトで選択されます。そうでない場合は、アプリケーション・サーバー・タイプとしてWebSphereを選択します。

5. 「WebSphereの詳細」ページで次の値を指定します。

- セル・パス: WebSphereセル・ホームの場所、つまり$WAS_HOME/profiles/Dmgr01/config/cells/CELL_NAMEです。デフォルトのセル名はHOST_NAMECell01です。

- 管理URL: WebSphere管理URLポートは、$WAS_HOME/profiles/Dmgr01/logs/AboutThisProfile.txtファイルのマネージメント・ブートストラップ・ポート・エントリから取得できます。

- 管理Soapポート: これはWebSphereアプリケーション・サーバーの管理SOAPポートです。

- 管理ユーザー名: ドメイン作成時に指定された同一ユーザー名です。

- 管理パスワード: ドメイン作成時に指定されたパスワードです。

6. 「OIMサーバー」ページで、Oracle Identity Managerサーバーの管理パスワード、キーストア・パスワードおよびURL情報を指定します。次に、「次へ」をクリックします。

7. 構成が終了するまで、「次へ」をクリックして、ウィザードの手順を継続します。

8. OIM_HOME/server/wasconfig/ディレクトリからWAS_HOME/lib/ext/ directory as wf_client_config.xmlにwf_client_config.xml.templateをコピーします。

9. wf_client_config.xmlファイルの<serverURL>タグの下にSOAサーバーのホスト名とブートストラップ・ポートを指定して更新します。タグの形式は次のとおりです。

<serverURL>corbaloc:iiop:SOA_SERVER_HOSTNAME:SOA_SERVER_BOOTSTRAP_PORT</serverURL>

例:

<serverURL>corbaloc:iiop:myhost.mycompany.com:2800</serverURL>

10. 次のようにノードの停止、マネージャの起動、ノードの同期を実行します。

$WAS_HOME/profiles/Custom01/bin/stopServer.sh SOA_SERVER -username USER_NAME -password PASSWORD
$WAS_HOME/profiles/Custom01/bin/stopNode.sh -username USER_NAME -password PASSWORD
$WAS_HOME/profiles/Dmgr01/bin/stopManager.sh -username USER_NAME -password PASSWORD
$WAS_HOME/profiles/Dmgr01/bin/startManager.sh
$WAS_HOME/profiles/Custom01/bin/syncNode.sh DMGR_HOST DMGR_SOAP_PORT -username USER_NAME -password PASSWORD
$WAS_HOME/profiles/Custom01/bin/startNode.sh
$WAS_HOME/profiles/Custom01/bin/startServer.sh OracleAdminServer
$WAS_HOME/profiles/Custom01/bin/startServer.sh SOA_SERVER
$WAS_HOME/profiles/Custom01/bin/startServer.sh OIM_SERVER

注意:

ユーザー名とパスワードは、セル作成時に使用したものと同一です。

終了したら、それぞれの管理対象サーバーを起動してください。

4.5.5 構成後モードでMTアップグレード・ユーティリティを使用したアップグレード機能

Oracle Identity Managerの構成が完了し、OIMサーバーを含めてすべてのサーバーがデフォルトのメタデータを挿入する準備が整ったら、構成後モードのMTアップグレード・ユーティリティを使用してすべての機能をアップグレードできます。

構成後モードのMTアップグレード・ユーティリティを使用して機能をアップグレードするには:

1. 次の前提条件を実行します。

- デフォルトのメタデータを挿入したら、Oracle Identity Managerをシャットダウンします。

- 管理およびSOAサーバーが実行されていることを確認します。

- $MW_HOME/Oracle_IDM1/server/bin/upgrade_was.propertiesファイルに正しい入力プロパティを挿入します。表4-5には、入力パラメータとサンプル値がリストされています。

表4-5 upgrade_was.propertiesの入力パラメータ

入力パラメータ

サンプル値

Oracle Identity Managerリリース9.xホームの場所

oim91Home=/scratch/oim9101was/xellerate

Oracle Identity ManagerスキーマのJDBC URL

oimSchemaJDBCURL=HOST_NAME:PORT:oimdb

Oracle Identity Managerスキーマ名

oimSchemaName=oim91011

Oracle Identity Manager MDSスキーマのJDBC URL

mdsSchemaURL=HOST_NAME:PORT:oimdb

Oracle Identity Manager MDSスキーマ名

mdsSchemaName=Sample_MDS

Oracle OIMホーム

oracleOIMHome=/scratch/wasr2install/mw/Oracle_IDM1

Middlewareホーム

middleWareHome=/scratch/wasr2install/mw

SOAホスト名

soaHost=soahost.mycompany.com

SOAポート番号

soaPort=SOA_PORT

SOAユーザー名

soaUserName=wasadmin

WebSphereドメイン・マネージャのセル・ホーム

wasCellHome=/scratch/wasr2install/was/profiles/Dmgr03/config/cells/HOST_NAMECell02

構成後モードのMT

CSFSeed=false

CSFSeed=falseの場合、MTは構成前モードで実行され、次のプロパティが設定されます。

PRE_OIM_CONFIG=false
POST_OIMCONFIG=true

注意:

WAS_HOME/profiles/Dmgr03/properties/portdef.propsファイルには、特定のセルに適したポート番号が含まれています。

- JAVA_HOMEおよびAPPSERVER_TYPE環境変数を設定します。JAVA_HOMEはIBM_JDKをポイントする必要があります。

2. MW_HOME/Oracle_IDM1/server/bin/ディレクトリに移動して、次のようにOIMMTUpgrade_WS.shを実行します。

export JAVA_HOME=/scratch/wasr2install/was/java/
export APPSERVER_TYPE='was'
./OIMMTUpgrade_WS.sh

注意:

このスクリプトのログ・ファイルは、MW_HOME/Oracle_IDM1/server/upgrade/logs/MT/ua-TIME_STAMP.logです。

3. 機能アップグレード・サマリー・レポートを解析します。Oracle Identity Manager管理対象サーバーを起動して、アプリケーションにアクセスします。

4.5.6 アップグレード後の構成の実行

Oracle Identity Managerリリース9.xをリリース11gリリース2 (11.1.2.1.0)にアップグレードしたら、次のアップグレード後の構成を実行します。

- 属性を必須としてマークするためのUIのカスタマイズ

4.5.6.1 属性を必須としてマークするためのUIのカスタマイズ

Oracle Identity Managerリリース9.xを11gリリース2 (11.1.2.1.0)にアップグレードすると、アップグレードされたメタデータ・ファイルは一部必須の属性を含みます。ただし、これらの属性はUIでは必須としてマークされません。たとえば、アップグレードされたユーザー作成操作のためのメタデータ・ファイル(CreateUserDataSet.xml、User.xmlなど)は名前属性とユーザー・ログイン属性が必須ですが、これらの属性はUIでは必須としてマークされません。

名前属性やユーザー・ログイン属性などの属性を画面上で必須としてマークする場合は、次の手順を実行します。

1. サンドボックスを作成し、アクティブにします。

2. 特定の画面、たとえば「Create User」画面に移動して、既存の必須フィールドに値を入力して、上部の「Customize」をクリックします。

3. 「Composer」メニューで、「View」→「Source」を選択します。

4. フィールドをクリックして確認し、タスクフローを編集します。「Edit」をクリックして、「Component Properties」ダイアログ・ボックスを開きます。

5. 「Component Properties」ダイアログ・ボックスで、「Show Required」プロパティのオプションを選択します。

6. Requiredプロパティの場合は、「Expression Editor」を開いて値としてtrueを入力します。

7. 「適用」をクリックした後、「OK」をクリックします。

8. 「Composer」ツールバーで、「Close」をクリックし、変更をテストします。

9. サンドボックスのエクスポートと公開を実行します。

4.6 IBM WebSphere上でのライフサイクル管理の変更処理

Oracle Identity Managerと別のアプリケーション(例: Oracle Access Management (OAM))との統合デプロイメントのため、それらのアプリケーションの構成が変更されると、Oracle Identity ManagerおよびIBM WebSphereアプリケーション・サーバーにも様々な変更が必要になります。次の項では、これらの構成変更について説明します。

- Oracle Identity Managerに関連するURL変更

- Oracle Identity Managerに関連するパスワード変更

- Oracle Identity ManagerのSSLの構成

4.6.1 Oracle Identity Managerに関連するURL変更

Oracle Identity Mangerでは、構造上およびミドルウェアの要件により、様々なホスト名とポートが構成に使用されています。この項では、統合された依存アプリケーションの変更に伴い、Oracle Identity ManagerおよびIBM WebSphereアプリケーション・サーバーの構成に必要な変更を実施する方法について説明します。

この項の内容は、次のとおりです。

- Oracle Identity Managerのデータベース・ホストとポートの変更

- Oracle Virtual Directoryのホストとポートの変更

- Oracle Identity Managerのホストとポートの変更

- SOAのホストとポートの変更

- OAMのホストとポートの変更

4.6.1.1 Oracle Identity Managerデータベースのホストとポートの変更

この項では、データベースのホスト名とポート番号が使用される構成エリアについて説明します。

Oracle Identity Managerのインストール後に、データベースのホスト名またはポート番号を変更した場合は、次の変更が必要になります。

注意:

データベースのホストおよびポートを変更する前に、Oracle Identity Managerをホストする管理対象サーバーを停止してください。IBM WebSphere管理サーバーを停止する必要はありません。

- データソースoimJMSStoreDSの構成を変更するには:

1. 「Resources」→「JDBC」→「Data Sources」→「oimJMSStoreDS」の順にナビゲートします。

2. データベースのホストとポートの変更に合わせて、URLの値を変更します。

- データソースApplicationDBの構成を変更する手順は次のとおりです。

1. 「Resources」→「JDBC」→「Data Sources」→「applicationDB」の順にナビゲートします。

2. データベースのホストとポートの変更に合わせて、URLの値を変更します。

- データソースoimOperationsDBの構成を変更するには:

1. 「Resources」→「JDBC」→「Data Sources」→「oimOperationsDB」の順にナビゲートします。

2. データベースのホストとポートの変更に合わせて、URLの値を変更します。

- Oracle Identity Managerのメタデータ・ストア(MDS)構成に関連するデータソースを変更するには:

1. 「サービス」→「JDBC」→「データソース」→mds-oimに移動します。

2. データベースのホストとポートの変更に合わせて、URLと「プロパティ」フィールドの値を変更します。

- カスタム・レジストリ構成を変更する手順は、次のとおりです。

1. IBM WebSphere管理コンソールで、「Security」→「Global security」の順に選択します。

2. スタンドアロン・カスタム・レジストリの隣の「Configure」をクリックします。

3. 「DBUrl」を選択して、「Edit」をクリックします。

4. ホスト名とポートの変更に合わせて、DBUrlフィールドの値を変更します。

注意:

サービス指向アーキテクチャ(SOA)やOracle Web Services Manager (OWSM)で構成変更を行うと、SOAまたはOWSMに関連するデータソースにも同様の変更を行う必要があります。

データソースの変更が済んだら、IBM WebSphereアプリケーション・サーバーを再起動して、Oracle Identity Manager管理対象WebSphereサーバーを起動します。

注意:

OIM App構成MBeansを使用してEnterprise Management (EM)コンソールからOracle Identity Managerアプリケーション構成情報を変更するには、1つ以上のOracle Identity Manager管理対象サーバーが実行されている必要があります。そうでない場合、EMコンソールからOIM App Config MBeansを確認できません。

- DirectDBの構成を変更するには:

1. Enterprise Managerにログインするには、次のURLを使用します。
http://ORACLE_ADMIN_SERVER/em

2. 「WebSphereセル」→「OIMサーバー」の順に選択します。

3. 「OIMサーバー」を右クリックして「システムMBeanブラウザ」を選択します。

4. システムMBeanブラウザで、「アプリケーション定義のMBeans」を開きます。

5. 「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.DirectDBConfig」→「DirectDB」に移動します。

6. ホストとポートの変更に合わせてURL属性に新しい値を入力し、変更を適用します。

注意:

Oracle Identity Managerの単一インスタンスのデプロイメントをOracle Real Application Clusters (Oracle RAC)に変更する場合、またはOracle RACを単一インスタンスのデプロイメントに変更する場合は、oimJMSStoreDS、 oimOperationsDBおよびmds-oimデータソースを変更してください。これらのデータソースをマルチデータソース構成に変更するための一般的な変更に加えて、カスタム・レジストリとドメイン資格証明ストア構成をOracle RACのURLに合わせて変更してください。これらの一般的な変更の詳細は、『Oracle Fusion Middleware高可用性ガイド』を参照してください。

4.6.1.2 Oracle Virtual Directoryのホストとポートの変更

LDAP同期が有効な場合、Oracle Identity Managerは、Oracle Virtual Directory (OVD)を介してディレクトリ・サーバーに接続します。この接続は、LDAP/LDAPSプロトコルを使用して行われます。

OVDのホストとポートを変更するには:

1. Oracle Identity System Administrationにログインします。

2. 「構成」の下の「ITリソースの管理」をクリックします。

3. 「ITリソース・タイプ」リストから「ディレクトリ・サーバー」を選択し、「検索」をクリックします。

4. ディレクトリ・サーバーのITリソースを編集します。これを行うには:

1. 「SSLの使用」フィールドの値がFalseに設定されている場合は、「サーバーURL」フィールドを編集します。「SSLの使用」フィールドの値がTrueに設定されている場合は、「サーバーSSLのURL」フィールドを編集します。

2. 「Update」をクリックします。

4.6.1.3 Oracle Identity Managerのホストとポートの変更

この項の内容は次のとおりです。

- Oracle Identity Manager構成のOimFrontEndURLの変更

- Oracle Identity Manager構成のbackOfficeURLの変更

注意:

Oracle Identity Managerの追加ノードを追加または削除する場合は、この項で説明する手順を実行して、Oracle Identity Managerのホストとポートの変更を構成してください。

4.6.1.3.1 Oracle Identity Manager構成のOimFrontEndURLの変更

OimFrontEndURLは、Oracle Identity Manager UIにアクセスするために使用するURLです。これは、アプリケーション・サーバーでロード・バランサまたはWebサーバーが使用されている場合は、それに応じてロード・バランサURLまたはWebサーバーURL、そうでない場合は単一アプリケーション・サーバーURLです。これはOracle Identity Managerによって、通知メールやSOA呼び出しのコールバックURLに使用されます。

クラスタ環境でのOracle Identity ManagerデプロイメントのWebサーバー用ホスト名またはポートの変更、または非クラスタ環境でのOracle Identity ManagerデプロイメントのWebSphere管理対象サーバー用ホスト名またはポートの変更により、変更が必要になる場合があります。

Oracle Identity Manager構成のOimFronEndURLを変更するには:

1. Oracle管理サーバーとOracle Identity Manager管理対象サーバー(クラスタ化デプロイメントの場合は少なくとも1つのサーバー)が稼動しているときに、次のURLを使用してEnterprise Managerにログインします。
http://ORACLE_ADMIN_SERVER/em

2. 「WebSphereセル」→「OIMサーバー」の順に選択します。

3. 「OIMサーバー」を右クリックし、システムMBeanブラウザに移動します。

4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.DiscoveryConfig」→「検出」に移動します。

5. OimFrontEndURL属性に新しい値を入力し、「適用」をクリックして変更を保存します。たとえば次のような値を入力できます。
http://myoim.mydomain.com

https://myoim.mydomain.com

http://myserver.mydomain.com:7001

注意:

SPMLクライアントには、SPMLの起動とコールバック・レスポンスの送信用にOracle Identity Manager URLが格納されています。そのため、これに対応した変更が必要になります。また、Oracle Identity ManagerがOAM、OAAMやOracle Identity Navigator (OIN)と統合されている場合は、これに対応した変更が必要になる場合もあります。詳細は、Oracle Technology Network (OTN) WebサイトにあるOAM、OAAMおよびOINのドキュメントを参照してください。

4.6.1.3.2 Oracle Identity Manager構成のbackOfficeURLの変更

backOfficeURLの変更は、Oracle Identity Managerがフロントオフィス構成およびバックオフィス構成にデプロイされる場合のみ必要になります。この変更は、単純なクラスタ化デプロイメントまたは非クラスタ化デプロイメントには適用されません。このURLは、フロントオフィス・コンポーネントからバックオフィス・コンポーネントにアクセスするために、Oracle Identity Managerで内部的に使用されます。バックオフィスにサーバーを追加する場合や、バックオフィスからサーバーを削除する場合は、バックオフィス構成およびフロントオフィス構成の実装中にこの属性の値を変更します。

backOfficeURL属性の値を変更するには:

1. WebLogic管理サーバーとOracle Identity Manager管理対象サーバー(クラスタ化デプロイメントの場合は少なくとも1つのサーバー)が稼動しているときに、次のURLを使用してEnterprise Managerにログインします。
http://ADMIN_SERVER/em

2. 「WebSphereセル」→「OIMサーバー」の順に選択します。

3. 「OIMサーバー」を右クリックし、システムMBeanブラウザに移動します。

4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.DiscoveryConfig」→「検出」に移動します。

5. BackOfficeURL属性に新しい値を入力し、「適用」をクリックして変更を保存します。たとえば次のような値を入力できます。

corbaloc:iiop:mywas1.mydomain.com:2800
corbaloc:iiop:mywas1.mydomain.com:2800,:mywas2.mydomain.com:2801

注意:

Oracle Identity Managerの非クラスタ化およびクラスタ化デプロイメントでは、BackOfficeURL属性の値を空にする必要があります。

4.6.1.4 SOAのホストとポートの変更

SOAのホストとポートを変更するには:

注意:

追加のSOAノードを追加または削除したときには、この手順を実行してSOAのホストとポートを変更してください。

1. Oracle管理サーバーとOracle Identity Manager管理対象サーバー(クラスタ化デプロイメントの場合は少なくとも1つのサーバー)が稼動しているときに、次のURLを使用してEnterprise Managerにログインします。
http://ORACLE_ADMIN_SERVER/em

2. 「WebSphereセル」→「OIMサーバー」の順に選択します。

3. 「OIMサーバー」を右クリックし、システムMBeanブラウザに移動します。

4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.SOAConfig」→「SOAConfig」に移動します。

5. Rmiurl属性とSoapurl属性の値を変更し、「適用」をクリックして変更を保存します。
Rmiurl属性は、SOA管理対象サーバーにデプロイされたSOA EJBにアクセスするために使用されます。これは、アプリケーション・サーバーのURLです。Oracle Identity Managerのクラスタ化デプロイメントの場合は、すべてのSOA管理対象サーバーのSOAP URLのカンマ区切りのリストです。この属性の値は、たとえば次のようになります。

corbaloc:iiop:mysoa1.mydomain.com:2800
corbaloc:iiop:mysoa1.mydomain.com:2800,: mysoa2.mydomain.com:2801
corbaloc:iiop:mysoa1.mydomain.com:2800,: mysoa2.mydomain.com:2801,: mysoa3.mydomain.com:2802

Soapurl属性は、SOA管理対象サーバーにデプロイされたSOA Webサービスにアクセスするために使用されます。これは、Webサーバーおよびロード・バランサをフロントエンドに使用するSOAクラスタの場合は、WebサーバーURLおよびロード・バランサURLです。単一SOAサーバーの場合は、アプリケーション・サーバーURLです。

この属性の値は、たとえば次のようになります。

http://myoimsoa.mydomain.com

http://mysoa.mydomain.com:8001

4.6.1.5 OAMのホストとポートの変更

OAMのホストとポートを変更するには:

1. Oracle管理サーバーとOracle Identity Manager管理対象サーバー(クラスタ化デプロイメントの場合は少なくとも1つのサーバー)が稼動しているときに、次のURLを使用してEnterprise Managerにログインします。
http://ORACLE_ADMIN_SERVER/em

2. 「WebSphereセル」→「OIMサーバー」の順にナビゲートします。

3. 「OIMサーバー」を右クリックし、システムMBeanブラウザに移動します。

4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.SSOConfig」→「SSOConfig」に移動します。

5. 必要に応じて、AccessServerHost属性とAccessServerPort属性およびその他の属性の値を変更し、「適用」をクリックして変更を保存します。

4.6.2 Oracle Identity Managerに関連するパスワード変更

Oracle Identity Manger構成では、構造上の要件やミドルウェア要件を満たすために、様々なパスワードが使用されます。この項では、デフォルトのパスワードと、依存製品または統合された製品でパスワードが変更された場合の、Oracle Identity MangerおよびOracle WebLogic構成のパスワードの変更方法について説明します。

この項の内容は次のとおりです。

- IBM WebSphere管理パスワードの変更

- Oracle Identity Manager管理者パスワードの変更

- Oracle Identity Managerデータベース・パスワードの変更

- 資格証明ストア・フレームワークのOracle Identity Managerパスワードの変更

- OVDパスワードの変更

4.6.2.1 IBM WebSphere管理パスワードの変更

IBM WebSphere管理パスワードを変更するには:

1. システム管理者としてOracle Identityセルフ・サービスにログインします。

2. WebSphere管理ユーザーを検索します。

3. 「パスワードのリセット」をクリックします。

4. 新しいパスワードを入力して、確認します。

5. 「パスワードのリセット」をクリックします。

4.6.2.2 Oracle Identity Manager管理者パスワードの変更

Oracle Identity Managerのインストール中に、インストーラによりOracle Identity Managerの管理者パスワードの入力を求められます。この管理者パスワードは、必要に応じてインストール完了後に変更できます。これを行うには、システム管理者としてOracle Identity Self Serviceにログインする必要があります。

注意:

OAMまたはOAAMがOracle Identity Managerに統合されている場合は、これらのアプリケーションで対応する変更を行う必要があります。詳細は、次のURLのOracle Documentation WebサイトにあるOAMおよびOAAMドキュメントを参照してください。

http://docs.oracle.com/

4.6.2.3 Oracle Identity Managerデータベース・パスワードの変更

Oracle Identity Managerは、2つのデータベース・スキーマを使用して、Oracle Identity Managerの操作および構成データを格納します。Oracle Identity Manager MDSスキーマを使用して構成関係の情報を格納し、Oracle Identity Managerスキーマを使用してその他の情報を格納します。スキーマ・パスワードを変更すると、Oracle Identity Manager構成も変更する必要があります。

Oracle Identity Managerデータベース・パスワードを変更すると、次の変更を行う必要があります。

注意:

データベース・パスワードを変更する前に、Oracle Identity Managerをホストする管理対象サーバーを停止してください。

- データソースoimJMSStoreDSの構成を変更するには:

1. 「リソース」→「JDBC」→「データソース」→「oimJMSStoreDS」の順にナビゲートします。

2. JAAS - J2C認証データ・リンクをクリックします。

3. CELL_NAME/oimJMSStoreDS_aliasリンクをクリックします。

4. 「パスワード」フィールドに、Oracle Identity Managerデータベース・スキーマの新しいパスワードを入力します。

5. 「適用」をクリックして変更を保存します。

- データソースoimOperationsDBの構成を変更するには:

1. 「リソース」→「JDBC」→「データソース」→「oimJMSStoreDS」の順にナビゲートします。

2. JAAS - J2C認証データ・リンクをクリックします。

3. CELL_NAME/oimOperationDB_aliasリンクをクリックします。

4. 「パスワード」フィールドに、Oracle Identity Managerデータベース・スキーマの新しいパスワードを入力します。

5. 「適用」をクリックして変更を保存します。

- Oracle Identity Manager MDSに関連するデータソースの構成を変更するには:

1. 「リソース」→「JDBC」→「データソース」→「mds-oim」の順にナビゲートします。

2. JAAS - J2C認証データ・リンクをクリックします。

3. CELL_NAME/oimJMSStoreDS_aliasリンクをクリックします。

4. 「パスワード」フィールドに、Oracle Identity Managerデータベース・スキーマの新しいパスワードを入力します。

5. 「適用」をクリックして変更を保存します。

注意:

- Oracle Real Application Clusters (Oracle RAC)構成を使用したOracle Identity Managerのデプロイメントでは、各マルチデータソース構成の下にあるすべてのデータソースを変更する必要があります。

- SOAまたはOWSMに関連するデータソースでも、必要に応じて同様の変更を行ってください。

- セルの資格証明ストアの構成を変更する手順は次のとおりです。

1. Enterprise Managerにログインするには、次のURLを使用します。
http://ADMIN_SERVER/em

2. 「WebSphereセル」→「セキュリティ」→「資格証明」の順にクリックします。

3. 「oim」を開いて、「OIMSchemaPassword」→「編集」を選択します。

4. 「パスワード」フィールドに新しいパスワードを入力し、「OK」をクリックします。

Oracle Identity Managerデータベース・パスワードを変更したら、WebSphere管理サーバーを再起動します。またOracle Identity managerが管理するWebSphereサーバーも同様に起動します。

4.6.2.4 資格証明ストア・フレームワークのOracle Identity Managerパスワードの変更

インストール・プロセスでは、Oracle Identity Managerインストーラによって複数のパスワードが格納されます。資格証明ストア・フレームワーク(CSF)には様々な値がキーおよび値として格納されています。表4-6にキーとその対応する値を示します。

表4-6 CSFキー

キー

説明

DataBaseKey

データベースの暗号化に使用されるキーのパスワード。パスワードは、インストーラでOracle Identity Managerキーストアに入力されたユーザー入力値です。

.xldatabasekey

データベース暗号化キーを格納するキーストアのパスワード。パスワードは、インストーラでOracle Identity Managerキーストアに入力されたユーザー入力値です。

xell

xellキーのパスワードで、Oracle Identity Manager コンポーネント間の通信を保護するために使用されます。Oracle Identity Managerインストーラによって生成されるデフォルトのパスワードは、xellerateです。

default_keystore.jks

JKSキーストアdefault_keystore.jksのパスワードで、DOMAIN_HOME/config/fmwconfig/ディレクトリにあります。パスワードは、インストーラでOracle Identity Managerキーストアに入力されたユーザー入力値です。

SOAAdminPassword

パスワードはインストーラで「SOA管理者パスワード」フィールドに入力されたユーザー入力値です。

OIMSchemaPassword

Oracle Identity Managerデータベース・スキーマに接続するためのパスワードです。パスワードはインストーラで「OIMデータベース・スキーマのパスワード」フィールドに入力されたユーザー入力値です。

JMSKey

パスワードは、インストーラでOracle Identity Managerキーストアに入力されたユーザー入力値です。

CSFキーの値を変更するには:

1. Enterprise Managerにログインします。

2. 「WebSphereセル」をクリックします。

3. 「セキュリティ」→「資格証明」に移動します。

4. 「oim」を開きます。Oracle Identity Managerのキーと値のすべてのペアのリストが表示されます。この値を編集して変更できます。

4.6.2.5 OVDパスワードの変更

OVDパスワードを変更するには:

1. Oracle Identity System Administrationにログインします。

2. 「構成」の下の「ITリソースの管理」をクリックします。

3. 「ITリソース・タイプ」リストから「ディレクトリ・サーバー」を選択します。

4. 「検索」をクリックします。

5. ディレクトリ・サーバーのITリソースを編集します。これを行うには、「管理者パスワード」フィールドに新しいOVDパスワードを入力し、「更新」をクリックします。

4.6.3 Oracle Identity ManagerのSSLの構成

この項では、Oracle Identity Manager、およびOracle Identity Managerが相互作用して安全な通信を確立するコンポーネントの鍵の生成、証明書への署名およびエクスポート、SSL構成の設定について手順を説明します。含まれる内容は、次のとおりです。

- Oracle Identity ManagerおよびSOAサーバーのSSLの有効化

- Oracle Identity Manager DBのSSLの有効化

- LDAP同期のSSLの有効化

- SSLによるリモート・マネージャの保護

注意:

Oracle Identity Manager用にSSLを構成する前に、鍵の生成、証明書の署名、証明書のエクスポートとインポートを実行する必要があります。これらの手順の詳細は、IBM WebSphereドキュメントを参照するか、IBMのサポートに問い合わせてください。

4.6.3.1 Oracle Identity ManagerおよびSOAサーバーのSSLの有効化

SSLを有効化するには、Oracle Identity ManagerおよびSOAサーバーで次の構成を実行する必要があります。

- Oracle Identity ManagerのSSLの有効化

- デフォルト設定を使用したOracle Identity ManagerのSSLの有効化

- SOAサーバーURLをSSLポートを使用するように変更

- Oracle Identity Manager ユーティリティのSSLの構成

- MDSユーティリティのSSLの構成

4.6.3.1.1 Oracle Identity ManagerのSSLの有効化

Oracle Identity ManagerのSSLの有効化について、次の各項で説明します。

- デフォルト設定を使用したOracle Identity ManagerのSSLの有効化

- カスタム・キーストアを使用したOracle Identity ManagerのSSLの有効化

4.6.3.1.2 デフォルト設定を使用したOracle Identity ManagerのSSLの有効化

Oracle Identity ManagerではSSLがデフォルトで有効になっています。

SSLポートを確認するには:

1. IBM WebSphere管理コンソールにログインします。

2. 「Servers」→「Server Type」の順にナビゲートして、WebSphereアプリケーション・リンクをクリックします。

3. oimサーバー・リンクをクリックします。

4. Portsリンクを開きます。WC_defaulthost_secureはSSLポートです。

4.6.3.1.3 カスタム・キーストアを使用したOracle Identity ManagerのSSLの有効化

デフォルト・キーストアの変更については、WebSphereマニュアルを参照してください。もしくは、IBM社のサポートに問い合せてください。

Oracle Identity ManagerとSOAサーバーでSSLを有効にした後、これらの間での安全な通信を確立するために、次の変更を行います。

- OimFrontEndURLをSSLポートを使用するように変更

- SOAサーバーURLをSSLポートを使用するように変更

4.6.3.1.4 OimFrontEndURLをSSLポートを使用するように変更

OimFrontEndURLは、oimアプリケーションのUIへのアクセスに使用されます。これはロード・バランサURLかWebサーバーURL (アプリケーション・サーバーでロード・バランサまたはWebサーバーが使用されている場合)、または単一アプリケーション・サーバーURLになります。これは、通常、Oracle Identity Managerによって、通知メール、またはSOAからOracle Identity ManagerへのコールバックWebサービスの送信に使用されます。

OimFrontEndURLをSSLポートを使用するように変更するには:

1. WebSphere管理サーバーおよびOracle Identity Manager管理対象サーバー(クラスタの場合は少なくとも1つのサーバー)が稼動しているときに、Enterprise Manager (EM)にログインします。
例:

http://ADMIN_SERVER/em

2. 「WebSphereセル」→「OIMサーバー」の順に選択します。

3. 「OIMサーバー」を右クリックして、「システムMBeanブラウザ」を選択します。

4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.DiscoveryConfig」→「検出」に移動します。

5. OimFrontEndURL属性に新しい値を入力し、「適用」をクリックして変更を保存します。
例:

http://myoim.mydomain.com

https://myoim.mydomain.com

http://myserver.mydomain.com:7001

注意:

Fusion AppsやSPMLクライアントには、SPMLの起動やコールバック・レスポンスの送信のために、Oracle Identity Manager URLが格納されています。そのため、これに対応する変更が必要になります。また、Oracle Identity ManagerにOAM/OAAM/OINが統合されている場合は、これに対応する変更も必要になります。他のコンポーネントとの統合の詳細は、『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』を参照してください。

4.6.3.1.5 SOAサーバーURLをSSLポートを使用するように変更

SOAサーバーURLをSSLポートを使用するように変更するには:

1. 管理サーバーおよびOracle Identity Manager管理対象サーバーが稼動しているときに、Enterprise Manager (EM)にログインします。
例:

http://ADMINISTRATIVE_SERVER/em

2. 「WebSphereセル」→「OIMサーバー」の順に選択します。

3. 「OIMサーバー」を右クリックして「システムMBeanブラウザ」を選択します。

4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.SOAConfig」→「SOAConfig」に移動します。

5. Rmiurl属性とSoapurl属性の値を変更し、「適用」をクリックして変更を保存します。

注意:

Rmiurlは、SOA管理対象サーバーにデプロイされたSOA EJBにアクセスするために使用されます。

これは、アプリケーション・サーバーのURLです。(クラスタ・インストールの場合は、すべてのSOA管理対象サーバーURLのカンマ区切りのリストです)

例:

corbalocs:iiop:mysoa1.mydomain.com:2800
corbalocs:iiop:mysoa1.mydomain.com:2800,: mysoa2.mydomain.com:2801
corbalocs:iiop:mysoa1.mydomain.com:2800,: mysoa2.mydomain.com:2801,: mysoa3.mydomain.com:2802

注意:

Soapurlは、SOA管理対象サーバーにデプロイされたSOA Webサービスにアクセスするために使用されます。これは、Webサーバーまたはロード・バランサをフロントエンドとするSOAクラスタでは、WebサーバーURLまたはロード・バランサURLです。単一SOAサーバーでは、アプリケーション・サーバーURLです。

たとえば、次のようなディレクトリです。

http://myoimsoa.mydomain.com

https://mysoa.mydomain.com: 8001

4.6.3.1.6 SSLによるDesign Consoleの保護

SSLでDesign Consoleを保護するには:

1. WAS_CLIENT_HOME/properties/sas.client.propsファイルを開きます。

2. 次のプロパティの値としてtrueが設定されていることを確認します。それらがtrueに設定されていない場合は、trueに更新します。

com.ibm.CSI.performTransportAssocSSLTLSRequired
com.ibm.CSI.performTransportAssocSSLTLSSupported

注意:

- com.ibm.CSI.performTransportAssocSSLTLSRequiredをtrueに設定すると、SSLによるサーバー通信がDesign Consoleで構成されます。

- IBM WebSphereのデフォルト・キーストアを変更するには、IBMが提供するWebSphereドキュメントを参照してください。

3. OIM_DC_HOME/xlclient/Config/xlconfig.xmlファイルを開きます。

4. SSLを使用するようにアプリケーションURLの値を編集します。例:
変更前:

http://OIM_SERVER_HOST:OIM_PORT/xlWebApp/loginWorkflowRenderer.do

変更後:

https://OIM_SERVER_HOST:OIM_SSL_PORT/xlWebApp/loginWorkflowRenderer.do

Oracle Identity Manager SSLポートを識別するには:

1. IBM WebSphere管理コンソールにログインします。

2. 「Servers」→「Server Type」→「Websphere Enterprise Servers」→「SERVER_NAME」→「Communications」→「Ports」の順にクリックします。

3. SSLポート、WC_defaulthost_secureを探します。WC_defaulthostは、アプリケーション・サーバー用の非SSLポートです。

4.6.3.1.7 Oracle Identity ManagerユーティリティのSSLの構成

Oracle Identity Managerクライアント・ユーティリティには、PurgeCache、GenerateSnapshot、UploadJars、およびUploadResourcesがあります。

Oracle Identity ManagerユーティリティでSSLを構成するには:

1. WAS_SERVER_HOME/profiles/DMGR_PROFILE/properties/sas.client.propsファイルを開きます。

2. 次のプロパティの値がtrueに設定されていることを確認します。
com.ibm.CSI.performTransportAssocSSLTLSRequired

com.ibm.CSI.performTransportAssocSSLTLSSupported

例:

setenv TRUSTSTORE_LOCATION/scratch/user1/dogwoodsh100520/beahome/wlserver_10.3/server/lib/DemoTrust.jks

4.6.3.1.8 MDSユーティリティのSSLの構成

wsadminスクリプトを含むすべてのOracle Identity Manager MDSユーティリティに次のオプションを追加する必要があります。

-Dcom.ibm.SSL.ConfigURL=file:DMGR_PROFILE\properties\ssl.client.props

注意:

このプロパティを設定すると、WLSTは正常に動作するようになります。情報/注意メッセージが表示されますが、これは無視してかまいません。

4.6.3.2 Oracle Identity Manager DBのSSLの有効化

Oracle Identity Manager DBのSSLを有効化するには、次の構成を実行する必要があります。

- サーバー認証SSLモードでのDBの設定

- キーストアと証明書の作成

- Oracle Identity Managerの更新

- WebSphereサーバーの更新

4.6.3.2.1 サーバー認証SSLモードでのDBの設定

サーバー認証SSLモードでDBを設定するには:

1. DBサーバーとリスナーを停止します。

2. listener.oraファイルを次のように構成します。

1. 次のパスに移動します。
$DB_ORACLE_HOME/network/adminディレクトリ

例:

/scratch/user1/production-database/product/11.1.0/db_1/network/admin

2. listener.oraファイルを編集してSSLリスニング・ポートとサーバー・ウォレット・ロケーションを含めます。
次にlistener.oraファイルのサンプルを示します。

# listener.ora Network Configuration File: /scratch/rbijja/production-database/product/11.1.0/db_1/network/admin/listener.ora
# Generated by Oracle configuration tools.

SSL_CLIENT_AUTHENTICATION = FALSE

WALLET_LOCATION =
(SOURCE =
(METHOD = FILE)
(METHOD_DATA =
(DIRECTORY = /scratch/rbijja/production-database/product/11.1.0/db_1/bin/server_keystore_ssl.p12)
)
)

LISTENER =
(DESCRIPTION_LIST =
(DESCRIPTION =
(ADDRESS = (PROTOCOL = TCPS)(HOST = server1.mycompany.com)(PORT = 2484))
)
(DESCRIPTION =
(ADDRESS = (PROTOCOL = TCP)(HOST = server1.mycompany.com)(PORT = 1521))
)
)

TRACE_LEVEL_LISTENER = SUPPORT

3. sqlnet.oraファイルを次のように構成します。

1. 次のパスに移動します。
$DB_ORACLE_HOME/network/adminディレクトリ

例:

/scratch/user1/production-database/product/11.1.0/db_1/network/admin

2. sqlnet.oraファイルを編集して次の内容を含めます。

- TCPS認証サービス

- SSL_VERSION

- サーバー・ウォレットの場所

- SSL_CLIENT_AUTHENTICATIONタイプ(trueまたはfalse)

- 通信で許可されるSSL_CIPHER_SUITES(オプション)

次にsqlnet.oraファイルのサンプルを示します。

# sqlnet.ora Network Configuration File: /scratch/rbijja/production-database/product/11.1.0/db_1/network/admin/sqlnet.ora
# Generated by Oracle configuration tools.

SQLNET.AUTHENTICATION_SERVICES= (BEQ, TCPS)

SSL_VERSION = 3.0

SSL_CLIENT_AUTHENTICATION = FALSE

WALLET_LOCATION =
(SOURCE =
(METHOD = FILE)
(METHOD_DATA =
(DIRECTORY = /scratch/rbijja/production-database/product/11.1.0/db_1/bin/server_keystore_ssl.p12)
)
)

4. tnsnames.oraファイルを次のように構成します。

1. 次のパスに移動します。
$DB_ORACLE_HOME/network/adminディレクトリ

例:

/scratch/user1/production-database/product/11.1.0/db_1/network/admin

2. tnsnames.oraファイルを編集してサービスの説明リストにSSLリスニング・ポートを含めます。
次にtnsnames.oraファイルのサンプルを示します。

# tnsnames.ora Network Configuration File: /scratch/user1/production-database/product/11.1.0/db_1/network/admin/tnsnames.ora
# Generated by Oracle configuration tools.

PRODDB =
(DESCRIPTION_LIST =
(DESCRIPTION =
(ADDRESS = (PROTOCOL = TCPS)(HOST = server1.mycompany.com)(PORT = 2484))
(CONNECT_DATA =
(SERVER = DEDICATED)
(SERVICE_NAME = proddb)
)
)
(DESCRIPTION =
(ADDRESS = (PROTOCOL = TCP)(HOST = server1.mycompany.com)(PORT = 1521))
(CONNECT_DATA =
(SERVER = DEDICATED)
(SERVICE_NAME = proddb)
)
)
)

5. DBサーバーのユーティリティを起動および停止します。

6. DBサーバーを起動します。

4.6.3.2.2 キーストアと証明書の作成

orapkiユーティリティを使用して、サーバー側とクライアント側のキーストアを作成できます。このユーティリティは、Oracle DBインストールの一部として出荷されます。

キーストアは、JKSやPKCS12などの任意の形式にすることができます。キーストアの形式は、プロバイダの実装によって異なります。たとえば、JKSはSun Oracleが提供する実装で、PKCS12はOraclePKIProviderが提供する実装です。

Oracle Identity Managerでは、DBサーバーにJKSクライアント・キーストアのみを使用します。これは、PKCS12などのJKS以外のキーストア形式を使用するには、リリースが差し迫っているときにインストーラ側に大きな変更を加える必要があったためです。ただし、Oracle Identity Managerにはdefault-KeyStore.jksという名前のJKS形式のキーストアがあらかじめ含まれています。

orapkiユーティリティを使用して、次のキーストアを作成できます。

- ルートCAウォレットの作成

- DBサーバー側ウォレットの作成

- クライアント側ウォレットの作成

注意:

ウォレットとキーストアは置き換え可能で、どちらも同じ意味です。これらは公開鍵および秘密鍵のリポジトリと自己署名証明書および信頼できる証明書を参照します。

ルートCAウォレットの作成

ルート認証局(CA)ウォレットを作成するには:

1. 次のパスに移動します。
$DB_ORACLE_HOME/binディレクトリ

2. 次のコマンドを使用してウォレットを作成します。

./orapki wallet create -wallet CA_keystore.p12 -pwd welcome1

3. 次のコマンドを使用して、自己署名証明書をCAウォレットに追加します。

./orapki wallet add -wallet CA_keystore.p12 -dn 'CN=root_test,C=US' -keysize 2048 -self_signed -validity 3650 -pwd welcome1

4. 次のコマンドを使用してウォレットを表示します。

./orapki wallet display -wallet CA_keystore.p12 -pwd welcome1

5. 次のコマンドを使用してCAウォレットから自己署名証明書をエクスポートします。

./orapki wallet export -wallet CA_keystore.p12 -dn 'CN=root_test,C=US' -cert self_signed_CA.cert -pwd welcome1

DBサーバー側ウォレットの作成

DBサーバー側ウォレットを作成するには:

1. 次のコマンドを使用してサーバー・ウォレットを作成します。

./orapki wallet create -wallet server_keystore_ssl.p12 -auto_login -pwd welcome1

2. 次のコマンドを使用して、証明書リクエストをサーバー・ウォレットに追加します。

./orapki wallet add -wallet server_keystore_ssl.p12/ -dn 'CN=Customer,OU=Customer,O=Customer,L=City,ST=NY,C=US' -keysize 2048 -pwd welcome1

3. 次のコマンドを使用して、証明書リクエストをファイルにエクスポートします。これは後でルートCA署名を使用して署名を受けるために使用されます。

./orapki wallet export -wallet server_keystore_ssl.p12/ -dn 'CN=Customer,OU=Customer,O=Customer,L=City,ST=NY,C=US' -request server_creq.csr -pwd welcome1

4. 次のコマンドを使用して、サーバー・ウォレットの証明書リクエストにCA署名を使用して署名を受けます。

./orapki cert create -wallet CA_keystore.p12 -request server_creq.csr -cert server_creq_signed.cert -validity 3650 -pwd welcome1

5. 次のコマンドを使用して、署名された証明書を表示します。

/orapki cert display -cert server_creq_signed.cert -complete

6. 次のコマンドを使用して、信頼された証明書をサーバー・ウォレットにインポートします。

./orapki wallet add -wallet server_keystore_ssl.p12 -trusted_cert -cert self_signed_CA.cert -pwd welcome1

7. 次のコマンドを使用して、この新規作成された署名証明書(ユーザー証明書)をサーバー・ウォレットにインポートします。

./orapki wallet add -wallet server_keystore_ssl.p12 -user_cert -cert server_creq_signed.cert -pwd welcome1

クライアント側ウォレットの作成

クライアント側(Oracle Identity Managerサーバー)ウォレットを作成するには:

1. 次のパスに移入されているdefault-keystore.jksキーストアを使用して、クライアント・キーストアを作成します。
DMGR_PROFILE/config/cells/CELL_NAME/fmwconfig

注意:

Oracle PKCS12ウォレットをクライアント・キーストアとして使用することもできます。

2. 次のコマンドを使用して、サーバー側コマンドを使用してすでにエクスポートされている自己署名付きの信頼されたCA証明書を、クライアント・キーストア(default-keystore.jks)にインポートします。

keytool -import -trustcacerts -alias dbtrusted -noprompt -keystore default-keystore.jks -file self_signed_CA.cert -storepass xellerate

4.6.3.2.3 Oracle Identity Managerの更新

Oracle Identity ManagerおよびOracle Identity Manager DBでSSLモードを有効にして安全な通信を確保するには、Oracle Identity Managerで次の手順を実行する必要があります。

1. 信頼された証明書をOracle Identity Managerのdefault-keystore.jksキーストアにインポートします。

2. Enterprise Managerにログインします。

3. 「WebSphereセル」をクリックして、「システムMBeanブラウザ」を選択します。

4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.DirectDBConfig」→「DirectDB」に移動します。

5. Sslenabled属性とUrl属性の値を変更して、「適用」をクリックします。DBでSSLモードが有効な場合は、Url属性にTCPS有効化とSSLポートを含める必要があります。
例:

url="jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)(HOST=my.domain.com)(PORT=2484))(CONNECT_DATA=(SERVICE_NAME=proddb)))"

6. Oracle Identity Managerサーバーを再起動します。

4.6.3.2.4 WebSphereサーバーの更新

Oracle Identity Manager DBのSSLを有効にした後で、DB SSLポートを使用してOracle Identity Managerの次のデータソースと認証者を変更する必要があります。

- データソースの構成

- データソースoimJMSStoreDSの構成の更新

- データソースoimOperationsDBの構成の更新

- Oracle Identity Manager MDSに関連するデータソースの構成の更新

- Oracle Identity Managerのカスタム・レジストリの更新

データソースの構成

データソースを構成するには:

1. Enterprise Managerにログインします。

2. ホストおよびポートの変更を行います。

注意:

データベースのホストまたはポートの変更を行う前に、Oracle Identity Managerアプリケーションをホストする管理対象サーバーを停止する必要があります。ただし、WebLogic管理サーバーは稼動させたままでかまいません。

データソースoimJMSStoreDSの構成の更新

データソースoimJMSStoreDSの構成を更新するには:

1. IBM WebSphere管理コンソールにログインします。

2. 「リソース」→「JDBC」→「データソース」→「oimJMSStoreDS」の順にナビゲートします。

3. URLの値を変更します。

4. 「Apply」をクリックして、変更を保存します。

データソースoimOperationsDBの構成の更新

データソースoimOperationsDBの構成を更新するには:

1. IBM WebSphere管理コンソールにログインします。

2. 「リソース」→「JDBC」→「データソース」→「oimJMSStoreDS」の順にナビゲートします。

3. URLの値を変更します。

4. 「Apply」をクリックして、変更を保存します。

Oracle Identity Manager MDSに関連するデータソースの構成の更新

Oracle Identity Manager MDSに関連するデータソースの構成を更新するには:

1. IBM WebSphere管理コンソールにログインします。

2. 「リソース」→「JDBC」→「データソース」→「mds-oim」の順にナビゲートします。

3. URLの値を変更します。

4. 「Apply」をクリックして、変更を保存します。

注意:

必要に応じて、SOA/OWSMに関連するデータソースにも同様の更新を行ってください。

Oracle Identity Managerのカスタム・レジストリの更新

WebSphereアプリケーション・サーバー内の既存のOracle Identity Managerのカスタム・レジストリは、非SSL DB詳細に対して構成されています。SSL DB詳細を使用するには、次の操作を実行する必要があります。

1. IBM WebSphere管理コンソールにログインします。

2. 「Security」をクリックします。

3. 「Global security」リンクをクリックします。

4. 「Configure」をクリックします。

5. DBUrlを編集します。

6. 「Apply」をクリックして、変更を保存します。

4.6.3.3 LDAP同期のSSLの有効化

Oracle Identity ManagerでSSL有効化されたOracle Virtual Directory (OVD)を使用できるようにするには、次の構成を実行する必要があります。

- OVD-OIDでのSSLの有効化

- Oracle Identity ManagerのOVDホスト/ポートの更新

4.6.3.3.1 OVD-OIDでのSSLの有効化

OVD-OIDでSSLを有効化するには:

1. OVD EMコンソールにログインします。

2. 「Identity and Access」を展開し、「ovd1」→「管理」→「リスナー」に移動します。

3. 「作成」をクリックし、必要なフィールドすべてに入力します。

注意:

「リスナー・タイプ」にはLDAPを選択してください。

4. 「OK」をクリックします。

5. 新規作成されたLDAPリスナーを選択し、「編集」をクリックします。

6. 「リスナーの編集 - OIM SSL ENDPOINT」ページで、新規作成されたLDAPリスナーを編集します。

7. 「OK」をクリックします。「SSL構成」ページが開きます。

8. 「SSLの有効化」チェック・ボックスを選択します。

9. 「拡張SSL設定」セクションで、SSL認証に対して、「認証なし」を選択します。

10. 「OK」をクリックします。

11. OVDサーバーを停止してから起動し、変更を有効にします。

注意:

再起動オプションは使用しないでください。

4.6.3.3.2 Oracle Identity ManagerのOVDホスト/ポートの更新

Oracle Identity Manager上でLDAP同期を有効にすると、Oracle Identity ManagerはOVDを通してディレクトリ・サーバーに接続します。この接続にはLDAP/LDAPSプロトコルを使用します。

OVDのホストおよびポートを変更するには:

1. Oracle Identity Manager管理およびユーザー・コンソールにログインします。

2. 「詳細」に移動し、「ITリソースの管理」をクリックします。

3. 「ITリソース・タイプとして「ディレクトリ・サーバー」を選択し、「検索」をクリックします。

4. ITリソース・ディレクトリ・サーバーで、サーバーURLを編集してSSLプロトコルとSSLポート詳細を含めます。

5. 「SSLの使用」がtrueに設定されていることを確認し、「更新」をクリックします。

4.6.3.4 SSLによるリモート・マネージャの保護

この項では、IBM WebSphere上のOracle Identity Managerリモート・マネージャでSSLを構成する方法を説明します。この項の内容は次のとおりです。

- 概要

- 一方向SSL認証の構成

- 双方向SSL認証の構成

4.6.3.4.1 概要

SSLには一方向と双方向があります。

- 一方向: Oracle Identity Managerサーバー(SSLクライアント・アプリケーション)は、Oracle Identity Managerリモート・マネージャ(SSLサーバー・アプリケーション)のIDを検証します。

- 双方向: Oracle Identity Managerサーバー(SSLクライアント・アプリケーション)は、Oracle Identity Managerリモート・マネージャ(SSLサーバー・アプリケーション)のIDを検証しし、さらに、リモート・マネージャは、Oracle Identity ManagerサーバーのIDを検証します。

SSL信頼関係を確立するには、SSLサーバーの(CA署名済)証明書をSSLクライアントのキーストアにインポートします。リモート・マネージャをインストールすると、キーストアと公開証明書が作成されます。リモート・マネージャのキーストアは、OIM_RM_HOME/config/default-keystore.jksファイルに指定されています。証明書は、OIM_RM_HOME/config/xlserver.certファイルに指定されています。

注意:

リモート・マネージャは、非SSL通信をサポートしません。デフォルトで一方向SSL認証がサポートされています。双方向SSL認証を有効にするには、次の該当する項に示された手順を実行します。

4.6.3.4.2 一方向SSL認証の構成

一方向SSL認証によりOracle Identity Managerサーバーは、リモート・マネージャのIDを検証できます。一方向SSL認証を構成するには、リモート・マネージャの証明書が次の場所にあるOracle Identity Managerサーバーのキーストアで信頼される必要があります。

WAS_HOME/profiles/Dmgr01/config/cells/OIM_CELL_NAME/fmwconfig/default-keystore.jks

CA証明書を使用して一方向SSL認証を構成するには:

1. リモート・マネージャの証明書、OIM_RM_HOME/config/xlserver.certをOracle Identity Managerサーバー・システムにコピーします。

注意:

Oracle Identity Managerサーバー証明書もxlserver.certという名前です。サーバーの証明書をうっかり上書きすることがないように注意します。

2. 手順1でOracle Identity Managerサーバーのシステムにコピーしたリモート・マネージャの証明書を、次のコマンドを実行してサーバーのキーストアにインポートします。

JAVA_HOME/jre/bin/keytool –import –alias TRUSTED_SERVER_CERTIFICATE \
–file RM_CERT_LOCATION/xlserver.cert \
–keystore WAS_HOME/profiles/Dmgr01/config/cells/OIM_CELL_NAME/fmwconfig/default-keystore.jks \
–trustcacerts –storepass OIM_SERVER_KEYSTORE_PASSWORD

JAVA_HOMEがOracle Identity ManagerサーバーのIBM Java Runtimeディレクトリを表し、RM_CERT_LOCATIONが手順1でリモート・マネージャの証明書をコピーした場所を表すことに注意します。

3. 確認を求められたら、Y (Yes)を押してインポートされた証明書を信頼します。

4. デプロイメント・マネージャを含めて、アプリケーション・サーバーを再起動します。

4.6.3.4.3 双方向SSL認証の構成

双方向SSL認証により、Oracle Identity Managerサーバーとリモート・マネージャは互いのIDを検証できます。双方向SSL認証を構成するには、リモート・マネージャの証明書がOracle Identity Managerサーバーのキーストアで信頼され、Oracle Identity Managerサーバーの証明書がリモート・マネージャのキーストアで信頼される必要があります。

Oracle Identity Managerサーバーの場所は次のとおりです。

WAS_HOME/profiles/Dmgr01/config/cells/OIM_CELL_NAME/fmwconfig/default-keystore.jks

Oracle Identity Managerサーバーの証明書の場所は次のとおりです。

WAS_HOME/profiles/Dmgr01/config/cells/OIM_CELL_NAME/fmwconfig/xlserver.cert

リモート・マネージャのキーストアの場所は次のとおりです。

OIM_RM_HOME/config/default-keystore.jks

リモート・マネージャの(CA署名済)証明書の場所は次のとおりです。

OIM_RM_HOME/config/xlserver.cert

CA証明書を使用して双方向SSL認証を構成するには:

1. リモート・マネージャの証明書、OIM_RM_HOME/config/xlserver.certをOracle Identity Managerサーバー・システムにコピーします。

注意:

Oracle Identity Managerサーバー証明書もxlserver.certという名前です。サーバーの証明書をうっかり上書きすることがないように注意します。

2. 手順1でOracle Identity Managerサーバーのシステムにコピーしたリモート・マネージャの証明書を、次のコマンドを実行してサーバーのキーストアにインポートします。

JAVA_HOME/jre/bin/keytool –import –alias TRUSTED_SERVER_CERTIFICATE \
–file RM_CERT_LOCATION/xlserver.cert \
–keystore WAS_HOME/profiles/Dmgr01/config/cells/OIM_CELL_NAME/fmwconfig/default-keystore.jks \
–trustcacerts –storepass OIM_SERVER_KEYSTORE_PASSWORD

JAVA_HOMEがOracle Identity ManagerサーバーのIBM Java Runtimeディレクトリを表し、RM_CERT_LOCATIONが手順1でリモート・マネージャの証明書をコピーした場所を表すことに注意します。

3. 確認を求められたら、Y (Yes)を押してインポートされた証明書を信頼します。

4. デプロイメント・マネージャを含めて、アプリケーション・サーバーを再起動します。

5. Oracle Identity Managerサーバー証明書をリモート・マネージャ・システムにコピーします。Oracle Identity Managerサーバーの場所は次のとおりです。

WAS_HOME/profiles/Dmgr01/config/cells/OIM_CELL_NAME/fmwconfig/xlserver.cert

注意:

リモート・マネージャの証明書もxlserver.certという名前です。サーバーの証明書をうっかり上書きすることがないように注意します。

6. 手順5でリモート・マネージャにコピーしたOracle Identity Managerサーバーのシステムの証明書を、次のシェル・コマンドを実行してリモート・マネージャのキーストアにインポートします。

JAVA_HOME/jre/bin/keytool –import –alias TRUSTED_SERVER_CERTIFICATE \
–file OIM_SERVER_CERT_LOCATION/xlserver.cert \
–keystore OIM_RM_HOME/config/default-keystore.jks –trustcacerts \
–storepass RM_KEYSTORE_PASSWORD

JAVA_HOMEがリモート・マネージャのIBM Java Runtimeディレクトリを表し、OIM_SERVER_CERT_LOCATIONが手順5でOracle Identity Managerサーバーの証明書をコピーした場所を表すことに注意します。

7. 確認を求められたら、Y (Yes)を押してインポートされた証明書を信頼します。

8. リモート・マネージャの構成ファイル、OIM_RM_HOME/config/xlconfig.xmlを開きます。

9. <RMSecurity>.<ClientAuth>構成パラメータの値をtrueに変更して、ファイルを保存します。

10. Remote Managerを再起動します。

4.7 IBM WebSphere上でのOracle Identity Managerユーティリティの使用

この項では、IBM WebSphere上でOracle Identity Managerユーティリティを使用する方法を説明します。

- IBM WebSphere上でOracle Identity Managerユーティリティを使用するための前提条件

- Oracle Enterprise Managerを使用したMDSデータベースからのメタデータ・ファイルのエクスポート

- Oracle Enterprise Managerを使用したMDSデータベースへのメタデータ・ファイルのインポート

- PurgeCache、UploadJars、DownloadJars、DeleteJars、UploadResourceBundlesおよびDownLoadResourceBundlesユーティリティの使用

- プラグイン登録および登録解除ユーティリティの使用

- IBM WebSphere上でのOracle Identity ManagerによるSOAコンポジットの登録

4.7.1 IBM WebSphere上でOracle Identity Managerユーティリティを使用するための前提条件

WebSphere上でOracle Identity Managerユーティリティを実行する前に、次の環境変数を設定します。

- OIM_ORACLE_HOME: Oracle Identity Managerがインストールされたディレクトリを識別するための環境変数。

- JAVA_HOME: Oracle Identity Managerサーバー用IBM Java Runtimeディレクトリの場所。

- WAS_HOME: WebSphereアプリケーション・サーバーがインストールされたディレクトリ。

- APP_SERVER: 指定可能な値は、weblogicまたはwebsphereです。ここでは、これをwebsphereに設定する必要があります。

- MW_HOME: Middlewareホームのディレクトリ・パス。

- PROFILE_NAME: プロファイルの名前。

- WAS_CELL_HOME: Oracle Identity Managerがデプロイされるセルの場所。

4.7.2 Oracle Enterprise Managerを使用したメタデータ・ファイルのMDSデータベースからのエクスポート

Oracle Enterprise Managerを使用してメタデータ・ファイルをMDSデータベースからエクスポートするには:

1. IBM WebSphere管理者の資格証明を使用してOracle Enterprise Managerにログインします。

2. WebSphereセル・リストから「システムMBeanブラウザ」を選択します。

3. 次のエントリ、「アプリケーション定義のMBeans」→「oracle.mds.lcm」→「サーバー:」「NAME_OF_OIM_SERVER」→「アプリケーション: oim」→「MDSAppRuntime」を開きます。

4. MDSAppRuntimeをクリックします。

5. 「操作」タブをクリックします。

6. exportMetadataをクリックします。

7. toLocationプロパティの値を入力します。これによりXMLファイルのエクスポート先ディレクトリを識別できます。例: /home/user/temp

8. Docsパラメータに対して「編集」をクリックします。

9. 「追加」をクリックして、エクスポートするメタデータ・ファイルへのパスを入力します。例: /db/oim-config.xml.

10. 「起動」をクリックします。

4.7.3 Oracle Enterprise Managerを使用したメタデータ・ファイルのMDSデータベースへのインポート

Oracle Enterprise Managerを使用してメタデータ・ファイルをMDSデータベースにインポートするには:

1. インポートするメタデータ・ファイルを一時ディレクトリにコピーします。例:

/home/user/temp/file/ProvisionResourceADUser.xml
/home/user/temp/file/ModifyResourceADUser.xml

2. IBM WebSphere管理者の資格証明を使用してOracle Enterprise Managerにログインします。

3. WebSphereセル・リストから「システムMBeanブラウザ」を選択します。

4. 次のエントリ、「アプリケーション定義のMBeans」→「oracle.mds.lcm」→「サーバー:」「NAME_OF_OIM_SERVER」→「アプリケーション: oim」→「MDSAppRuntime」を開きます。

5. MDSAppRuntimeをクリックします。

6. 「操作」タブをクリックします。

7. importMetadataをクリックします。

8. fromLocationプロパティに値を入力します。これはXMLファイルのインポート元のディレクトリを識別します。例: /home/user/temp

9. Docsパラメータに対して「編集」をクリックします。

10. 「追加」をクリックして、インポートするメタデータ・ファイルの場所を入力します。例: /file/*.xml

11. 「起動」をクリックします。

4.7.4 PurgeCache、UploadJars、DownloadJars、DeleteJars、UploadResourceBundlesおよびDownLoadResourceBundlesユーティリティの使用

この項では、IBM WebSphere上で次のOracle Identity Managerユーティリティを使用する方法について説明します。

- PurgeCache.sh: キャッシュ内のすべての要素をパージします。

- UploadJars.sh: JARファイルをデータベースにアップロードします。

- DownloadJars.sh: JARファイルをデータベースからダウンロードします。

- DeleteJars.sh: JARファイルをデータベースから削除します。

- UploadResourceBundles.sh: コネクタまたはカスタム・リソース・バンドルをデータベースにアップロードします。

- DownLoadResourceBundles.sh: リソース・バンドルをデータベースからダウンロードします。

IBM WebSphere上でこれらのOracle Identity Managerユーティリティを使用するには:

1. 次の環境変数を設定します:

- OIM_ORACLE_HOME: Oracle Identity Managerサーバーをインストールしたディレクトリを識別します。

- WAS_HOME: IBM Websphere Network Deployment Managerをインストールしたディレクトリを識別します。

- JAVA_HOME: Oracle Identity ManagerサーバーのIBM Java Runtimeディレクトリを識別します。

2. 表4-7は、ユーティリティを使用する前にOIM_ORACLE_HOME/server/bin/websphere.propertiesファイルに設定する必要がある値を示します。

表4-7 ユーティリティを使用するためにwebsphere.propertiesファイルに設定する値

プロパティ

値

com.ibm.ws.scripting.port

Oracle Identity ManagerがインストールされたIBM WebsphereサーバーのSOAPポート。

SOAPポートを識別するには:

1. WebSphere管理コンソールにログインします。

2. 「Server」→「Server Type」→「WebSphere application servers」→「NAME_OF_OIM_SERVER」の順にクリックします。

3. 「Communications」セクションで「Ports」エントリを開きます。

4. SOAP_CONNECTOR_ADDRESSエントリにリストされた値を使用します。

com.ibm.ws.scripting.host

Oracle Identity Managerがインストールされたシステムのホスト名です。

was_servername

Oracle Identity ManagerがインストールされたIBM Websphereサーバーの名前です。

was_nodename

Oracle Identity ManagerがインストールされたIBM WebSphereノードの名前です。

ノード名を識別するには:

1. WebSphere管理コンソールにログインします。

2. 「System Administration」→「Nodes」をクリックします。

application_name

アプリケーション名。oimと入力します。

3. エディタを使用してOIM_ORACLE_HOME/server/bin/setEnv.shファイルを開きます。

4. APP_SERVER=@appserverパラメータを次のように編集します: APP_SERVER=websphere

5. 正しいプロファイルをポイントするようにPROFILE_NAME=@profilenameパラメータを編集します(例: PROFILE_NAME=Dmgr01)。

6. エディタを使用して、Oracle Identity Managerがインストールされたプロファイルのsas.client.propsファイルを開きます。例:
WAS_HOME/profiles/Dmgr01/properties/sas.client.props

7. プロパティを次のように編集します。

注意:

Oracle Identity Managerのブートストラップ・アドレスを識別するには、次の手順を実行します。

1. WebSphere管理コンソールにログインします。

2. 「Server」→「Server Type」→「WebSphere application servers」→「NAME_OF_OIM_SERVER」の順にクリックします。

3. 「Communications」セクションで「Ports」エントリを開きます。

4. BOOT_STRAP_ADDRESSエントリにリストされた値を使用します。

com.ibm.CORBA.securityServerHost=OIM_HOSTNAME
com.ibm.CORBA.securityServerPort=OIM_BOOTSTRAP_ADDRESS
com.ibm.CORBA.loginSource=none

8. ユーティリティを実行します。例:

./PurgeCache.sh CATEGORY_NAME
./UploadJars.sh
./DownloadJars.sh
./DeleteJars.sh
./UploadResourceBundles.sh
./DownLoadResourceBundles.sh

画面の指示に従って次の情報を入力します。

- Oracle Identity Manager管理者のユーザー名

- Oracle Identity Manager管理者のパスワード

- サービスのURL。例:
corbaloc:iiop:OIM_HOSTNAME:OIM_SERVER_BOOTSTRAP_ADDRESS

- コンテキスト・ファクトリ:
com.ibm.websphere.naming.WsnInitialContextFactory

注意:

JARのアップロード、ダウンロード、削除ユーティリティの一部やUploadResourceBundlesは、実行するJARファイルのタイプや名前、実行対象のカスタム・リソース・バンドルの場所など、追加情報の入力を求めます。

4.7.5 プラグイン登録および登録解除ユーティリティの使用

プラグイン登録ユーティリティを使用して、関連タスクの登録および登録解除できます。プラグイン登録ユーティリティは、OIM_HOME/plugin_utility/ディレクトリにあり、次のファイルを使用します。

- pluginregistration.xml

- ant.properties

プラグイン登録ユーティリティを使用する前に

1. 次の環境変数を設定します:

- JAVA_HOME: Oracle Identity ManagerサーバーのIBM Java Runtimeディレクトリを識別します。

- ANT_HOME: Apache Antバージョン1.7以上がインストールされているディレクトリを識別します。

注意:

プラグイン登録ユーティリティには、Apache Antバージョン1.7以上が必要です。

- WAS_CELL_HOME: WebSphereセルを表します。

- PROFILE_NAME: カスタム・プロファイル名を表します。

2. WAS_HOMEおよびOIM_HOMEのant.propertiesを編集します。例:

was.home=/test/WAS110912/IBM/WebSphere/AppServer
oim.home=/test/WAS110912/Oracle_IDM1/server
login.config=${oim.home}/config/authws.conf

プラグインの登録

プラグインを登録するには、antターゲット登録コマンドを実行します。例:

ant -f  pluginregistration.xml register

次の情報の入力が求められます。

- Oracle Identity Manager管理者のユーザー名およびパスワード。

- サービスURL。例:

corbaloc:iiop:OIM_HOSTNAME:OIM_SERVER_BOOTSTRAP_ADDRESS

- コンテキスト・ファクトリ。例:

com.ibm.websphere.naming.WsnInitialContextFactory

- プラグイン・ファイルのフル・パスおよび完全名。例:

/test/pluginsfolder/plugins.zip

注意:

プラグイン・ファイルに関する情報を指定した後に、oimrealmなどの追加情報の入力を求められます。

プラグインの登録解除

プラグインの登録を解除するには、antターゲット登録解除コマンドを実行します。例:

ant -f  pluginregistration.xml unregister

次の情報の入力が求められます。

- Oracle Identity Manager管理者のユーザー名およびパスワード。

- サービスURL。例:

corbaloc:iiop:OIM_HOSTNAME:OIM_SERVER_BOOTSTRAP_ADDRESS

- コンテキスト・ファクトリ。例:

com.ibm.websphere.naming.WsnInitialContextFactory

- プラグイン・パッケージの完全クラス名 例:

oracle.iam.scheduler.LongJob

注意:

パッケージのクラス名を入力すると、oimrealmなどの追加情報の入力を求められます。

4.7.6 IBM WebSphere上でのOracle Identity ManagerによるSOAコンポジットの登録

Oracle SOAスイートは、Oracle Identity Managerに登録してから承認プロセスとして使用する必要があります。SOAコンポジットを登録する手順は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のOracle Identity ManagerによるSOAコンポジットの登録に関する項を参照してください。ただし、この手順はOracle WebLogic Server上のOracle Identity Manager用に開発されました。その情報をIBM WebSphere上のOracle Identity Managerに使用するには:

登録する前に

1. エディタを使用してOIM_ORACLE_HOME/server/bin/setEnv.shファイルを開きます。

2. APP_SERVER=@appserverパラメータを次のように編集します: APP_SERVER=websphere

3. Oracle Fusion MiddlewareがインストールされたディレクトリをポイントするようにMW_HOME=@mwhomeパラメータを編集します。

antスクリプトの実行

WAS_HOME/bin/ws_ant.shを実行します。例:

$WAS_HOME/bin/ws_ant.sh -f registerworkflows-mp.xml register

4.8 IBM WebSphere上でのアイデンティティ証明の理解

この項では、Oracle Identity Managerの証明の管理者が実行する必要があるアイデンティティ証明タスクについて説明します。証明書を作成する前に、アクセス・カタログ内のアーティファクトのビジネス・メタデータの構成について、第4.8.8項「アイデンティティ証明の前提条件」およびアクセス・カタログ管理に関する章を参照してください。

この項では、IBM WebSphereアプリケーション・サーバー上のOracle Identity Managerに関する証明情報について説明します。内容は次のとおりです。

- アイデンティティ証明の構成

- マルチフェーズ・レビューと高度な委任機能

- リスクの総括および計算方法の理解

- 証明書の作成

- 証明書のスケジュール設定

- クローズド・ループ是正および是正の追跡の理解

- Excelベースの証明サインオフのためのADFDiプラグインのインストール

- アイデンティティ証明の前提条件

4.8.1 アイデンティティ証明の構成

証明書を新規作成する前に、作成されるすべての証明書に適用されるグローバル構成の設定を適用できます。これらの構成の設定は、チェック・ボックスをクリックしてから「Save」ボタンを選択することにより適用できます。表4-8は、一般構成の設定を示します。表4-9は、グローバル構成の設定を示します。

注意:

一般構成の設定が変更されても、既存の証明書は影響を受けません。

表4-8 一般構成の設定

名前

説明

Password required on sign-off

このオプションを選択すると、証明書の確認者はサインオフ・ボタンをクリックするか証明書の確認を完了するときに資格証明を入力する必要があります。

Allow comments on certify operations

このオプションを選択すると、レビューアは、証明対象ユーザーのアクセス詳細について証明決定の後に、テキスト・ボックスにコメントを入力できます。

Allow comments on all non-certify operations

このオプションを選択すると、レビューアは、証明対象ユーザーのアクセス詳細について非証明決定(つまり、失効、不明、許可された例外など)の後に、テキスト・ボックスにコメントを入力できます。

Verify employee access

このオプションを選択すると、ユーザー証明ページ1サマリー・ビューが表示されます。選択しないと、ページ1はレビューアに表示されず、デフォルトですべてのユーザーにクレームが付きます。

Prevent self certification

このオプションを選択すると、レビューアのアクセス権限は証明の移入に含まれなくなります。実際にレビューアが証明の移入の一部である場合、そのレビューアのアクセス権限は別のレビューアを選択することにより自動的に新しい証明を受け取るレビューアにルーティングされます。

User and Account Selections

このオプションは、証明内でのユーザーとアカウントのプレゼンテーションを、選択可能な3つのオプションによって制御します。

1. Include only active users and active accounts

2. Include any user with active accounts

3. Include all users and all accounts

Allow advanced delegation

このオプションを選択すると、証明のレビューアはユーザーを別のレビューアに委任できます。このオプションの選択しないと、レビューアは委任などの高度な委任オプションを使用できません。

詳細は、第4.8.2.2項「高度な委任機能」を参照してください。

Allow multi-phased review

このオプションを選択すると、マルチフェーズ証明書レビュー・キャンペーンを生成できます。このオプションは、ユーザー証明にのみ適用されます。

詳細は、第4.8.2項「マルチフェーズ・レビューと高度な委任機能」を参照してください。

Allow reassignment

このオプションを選択すると、証明のレビューアは別のレビューアにユーザーを再割当てできます。このオプションを選択しないと、レビューアは再割当てなどの高度な委任オプションを使用できません。

Allow auto-claim

このオプションを選択すると、証明の最初の段階で自動的にすべてのユーザーにクレームを付けます。これはユーザーだけでなく、ロール証明のロール、アプリケーション・インスタンス証明のアプリケーション・インスタンス、エンタイトルメント証明のエンタイトルメント、ユーザー証明のユーザーに適用されます。

Perform closed loop remediation

このオプションを選択すると、証明書の完了後に、証明内で取り消されたユーザーのすべてのアクセス権限が、すべての接続または非接続アプリケーションおよびリソースに対してOracle Identity Managerを使用して直接プロビジョニング解除されます。このオプションを選択しないと、自動是正処理は行われません。

注意:

グローバル構成設定は、変更時に既存の証明に適用されます。

表4-9 グローバル設定

名前

説明

Enable Interactive Excel

このオプションを選択すると、レビューアによる証明のサインオフ中に「Actions」メニューに「Download to Editable Excel」リンクが表示されます。このボタンをクリックすることにより、レビューアは編集可能なEXCELファイルに証明全体をダウンロードして、オフラインで完成させることができます。

4.8.2 マルチフェーズ・レビューと高度な委任機能

このリリースの証明に関する最も顕著な改善は、共同証明またはマルチフェーズ・レビューの導入です。共同証明には2つの主要な側面があります。

- マルチフェーズ・レビュー

- 高度な委任機能

4.8.2.1 マルチフェーズ・レビュー

マルチフェーズ・レビューでは、ビジネス分野のレビューアとテクニカル・レビューアの両方の観点を組合せるために、両分野の専門知識が駆使されます。マルチフェーズ・レビューには3つのフェーズが含まれます。

- フェーズ1: ビジネス・レビューは必須の第1フェーズです。通常、ビジネス・レビューアは、各ユーザーの管理者で、そのユーザーのすべての(証明可能な)アクセス権限を表示できます。管理者は最初に、ユーザーが権限の有効な保持者であること、たとえば、ユーザーが会社の従業員であることを確認します。次に、ユーザーの社内でのポジションがユーザーのアクセス権限、つまり、ロールの割当て、アカウントおよびエンタイトルメントの割当てを正当化することを確認します。

- フェーズ2: テクニカル・レビューはオプションの第2フェーズです。テクニカル・レビューアは、各権限の証明者であり、権限のメンバーを検査します。

- 最終検査はオプションの最終フェーズです。証明で最終検査が有効に設定されている場合、第1フェーズのプライマリ・レビューアは、最初の2つのフェーズでの決定を表示し、必要に応じてそれらの決定を無効にできます。

4.8.2.2 高度な委任機能

高度な委任により、全体的責任を保持しながら、決定を他のユーザーに委任することができます(帯域幅の理由により)。

フェーズ1またはフェーズ2のプライマリ・レビューアは、作業を他のユーザーに広げることができます。これは委任または再割当てを通して可能になります。プライマリ・レビューアは、明細項目の任意のセット(証明のページ1の任意の項目)を、自身が選択した任意のユーザーに委任することができます。プライマリ・レビューアは、明細項目の任意のセットに対する責任を別のユーザーに再割当てすることもできます。再割当てされた項目は現在の証明書から削除され、それらの項目によって新しい証明書が生成されます。委任された項目に対する責任はまだ、プライマリ・レビューアにあります。

4.8.3 リスク・サマリーの計算方法の理解

ロール、アプリケーション・インスタンス、エンタイトルメント、および定義済のリスク要因に対して、高、中、低のリスク・レベルを直接割り当てることができます。リスク集約ジョブは、アイデンティティ証明機能をサポートするために必要な残りの上位データ・オブジェクトのためのリスク・サマリーを計算します。これらのオブジェクトには、アクセス・カタログの中のすべてのユーザー、ユーザー・ロールの割当て、アカウントおよびエンタイトルメントの割当てが含まれます。アイデンティティ証明の間に、証明者またはレビューアはリスク・サマリーを使用して高リスク証明項目を中および低リスク項目から分別します。

この項では、システムがリスク・レベルからリスク・サマリーを生成するプロセスについて説明します。手動または定期的に実行できるリスク集約ジョブについても説明します。

注意:

Oracle Identity Managerでは、ロール、アプリケーション・インスタンス、およびエンタイトルメント(エンタイトルメントの定義)はメタデータ・オブジェクトであり、ユーザー、アカウント、エンタイトルメントの割当てはインスタンスデータ・オブジェクトです。「構造」オブジェクトなどのメタデータ・オブジェクトは、Oracle Identity Manager内でユーザーの情報システムを表し、説明します。インスタンスデータ・オブジェクトは、その情報システムに挿入されるアプリケーション・データの個別インスタンスです。たとえば、ユーザーにトラブル・チケット(エンタイトルメント)の作成を可能にする定義済ロールを持つ顧客サービス・アプリケーション(リソース)を考えてみてください。この例では、単一のリソース・オブジェクトはアプリケーションを表し、単一のエンタイトルメント・オブジェクトはそのアプリケーション内の特定の権限を表します。このリソース上には何千ものユーザー・アカウントがある可能性があります。その一部のサブセットはユーザーにトラブル・チケットの作成を可能にするエンタイトルメントの割当てを持っているものとします。アクセス・カタログの中の、アカウント・オブジェクトは各ユーザー・アカウントを表し、エンタイトルメントの割当てオブジェクトはエンタイトルメントの割当ての各インスタンスを表します。これは、メタデータ・オブジェクトとインスタンス・データ・オブジェクトとの間に存在する1対多の関係を示しています。単一リソース(メタデータ・オブジェクト)は複数のアカウント(インスタンスデータ・オブジェクト)を持つことができ、単一エンタイトルメント(メタデータ・オブジェクト)は、複数の割当てインスタンス(インスタンスデータ・オブジェクト)を持つことができます。アクセス・カタログ内のすべてのユーザー、アカウント、およびエンタイトルメントの割当てのリスク・レベルを手作業で繰り返し計算するのは現実的ではありません。その代わりとして、Oracle Identity Managerソリューションがインスタンスデータ・オブジェクトのリスク・レベルを計算します。

項目のリスクは、システム管理者がアクセス・カタログ内の特定のロール、アプリケーション・インスタンス、およびエンタイトルメントに割り当てられるリスク・レベルを意味します。項目のリスクをメタデータ・オブジェクトに割り当てる方法は他にもありますが、直接割り当てる方法が最も一般的です。

UIの中のメタデータ・オブジェクトに対する項目のリスク・レベルの割当ては簡単です。それには、アクセス・カタログ内でオブジェクトを見つけて開き、下の詳細ペインから「High」、「Medium」または「Low」のリスク設定を選択します。アクセス・カタログ内のメタデータ・オブジェクトに項目のリスク・レベルを直接割り当てない場合は、システムによってデフォルトの項目のリスク・レベルが割り当てられます。ロール、アプリケーション・インスタンス、およびエンタイトルメントは、それぞれにデフォルト値を持ちます。項目のリスク・レベルのデフォルト値は、「Risk Mapping」ページを使用して設定できます。

一般的に、非常に限定された権限をユーザーに与えるメタデータ・オブジェクトに対して、高レベルの項目のリスクを予約しておくことをお薦めします。高レベルの項目のリスクをオブジェクトに設定すると、その親オブジェクトのリスク・サマリーも高い値に設定されることに注意してください。同様に、中レベルの項目のリスクをオブジェクトに設定すると、その親オブジェクトのリスク・サマリーも中程度の値に設定されます。システム階層内の上位オブジェクトのリスク・サマリーを低い値に設定するには、そのオブジェクトより下のオブジェクトのリスクを低く設定する必要があります。

リスク・ファクタ・マッピングは、Oracle Identity Manager内でリスク・レベルを特定の定義済条件にマップさせる設定です。一般的に、非正規または危険なユーザーに権限が適用される可能性がある条件に対して、高レベルのリスク・ファクタを予約しておくことをお薦めします。Oracle Identity Managerには2つのリスク・ファクタ・カテゴリがあり、それぞれのカテゴリが複数の設定を含みます。リスク・ファクタ・カテゴリについて以下に説明します。

プロビジョニング・シナリオは、Oracle Identity Managerによるロール、アカウント、またはエンタイトルメントのユーザーへの割当てに使用されるメソッドまたはメカニズムと関連付けられるリスク・レベルを定義します。たとえば、システム管理者によって直接プロビジョニングされたオブジェクトに高いリスク・レベルを設定し、ロールと関連するポリシーに基づいてプロビジョニングされたオブジェクトに低いリスク・レベルを設定できます。

前回の証明アクションは、アカウント、エンタイトルメントの割当てまたはユーザーロールの割当ての前回の証明のステータスに基づいてリスク・レベルを定義します。たとえば、前回の証明決定が承認されたすべての項目に低リスク・レベルを設定し、前回の証明決定が条件付きで承認されたすべての項目に中リスク・レベルを設定します。最後に、前回の証明決定が棄権または失効だったすべての項目に高リスク・レベルを設定します。

リスク集約ジョブは、項目のリスク・レベルとリスク・ファクタ・レベルを処理し、アイデンティティ証明をサポートする各上位オブジェクトのリスク・サマリーを計算します。

リスク集約の第1段階で、リスク集約ジョブは個別オブジェクトの項目のリスク・レベルと、その3つのリスク・ファクタ・レベルを評価し、4つのレベルの内の最高レベルをオブジェクトのリスク・サマリー・プロパティに割り当てます。リスク・サマリー値は、ユーザー・オブジェクト、ユーザーロール割当てオブジェクト、アカウント・オブジェクト、およびエンタイトルメントの割当てオブジェクトのそれぞれについて個別に計算されます。

アクセス・カタログ内のすべてのオブジェクトについてリスク・サマリーが計算されると、リスク集約の第2段階が始まります。各オブジェクトのリスク・サマリーが、そのオブジェクトを含む親オブジェクトのリスク・サマリーへとロール・アップされます。

エンタイトルメントの割当てレベル以上で、各データ・オブジェクトのリスク・サマリー値は、そのオブジェクトを含む親オブジェクトのリスク・サマリーに貢献します。たとえば、アカウント・オブジェクトは、エンタイトルメントの割当てオブジェクトより1レベル上の階層に上り、ユーザー・オブジェクトは従来より1レベル上の階層に上がります。このため、アカウント・オブジェクト内のすべてのエンタイトルメントの割当てオブジェクトのリスク・サマリーは、そのアカウントのリスク・サマリーに貢献し、同様に、ユーザー・オブジェクト内のすべてのアカウント・オブジェクトのリスク・サマリーはそのユーザーのリスク・サマリーに貢献します。

ユーザー・オブジェクトも、ユーザーロール割当てオブジェクトの1レベル上の階層に上がります。すべてのユーザーロール割当てオブジェクトのリスク・サマリーがそのユーザーのリスク・サマリーに貢献します。リスク・ジョブはデフォルトで有効になっていないため、リスクは評価されません。有効にするには、スケジューラ・メニューを表示し、リスク・ジョブを見つけて有効にする必要があります。ジョブは定義された期間に実行されます。

4.8.4 証明の作成

すべての証明定義は、Oracle Identity Manager管理コンソールで一元管理されます。

証明定義を新規作成するには:

1. Oracleアイデンティティ・システム管理に管理権限でログインします。

2. 「証明」→「証明の定義」→「作成」の順に選択します。

3. ウィザードに従って次の手順を実行します。

ウィザードに従って実行する手順は次のとおりです。

- 証明のタイプ

- 基本選択

- コンテンツ選択

- 構成

- レビューア

- 増分

- サマリー

4.8.4.1 証明のタイプ

証明の名前、種類、および説明を入力します。レビューア別に4種類の証明オプションがあります。

1. ユーザー: ビジネス・マネージャが彼らの直属の部下のレポートおよび彼らのアクセス権限を証明できるようにします。

2. アプリケーション・インスタンス: アプリケーション・インスタンス所有者が、所有するアプリケーション・インスタンス内のアカウントを持つユーザーを証明できるようにします。

3. エンタイトルメント: エンタイトルメントの所有者が、所有するエンタイトルメントにアクセスするユーザーを審査できるようにします。

4. ロール: ロール所有者が、ロール・メンバーシップおよび関連するロール定義(つまり、アクセス・ポリシー)を証明できるようにします。

4.8.4.2 基本選択

これらのオプションは、選択された証明の種類により異なります。ユーザー証明の場合、企業に属すユーザーや特定の検索条件に基づくユーザーを選択できます。ユーザーの移入が完了すると、選択の制約を異なるリスク・レベルのユーザーや、ユーザー、ユーザーがアクセスできるロール、アプリケーション・インスタンス、およびエンタイトルメントに関するリスク・サマリーに適用できます。

4.8.4.3 コンテンツ選択

一度移入が選択されると、コンテンツ選択オプションにより、次の対象を含めたり、除外することができます: すべてのアカウントを持つユーザー、多様なリスク・レベルのロールまたは選択されたロールのみ、多様なリスク・レベルのアプリケーション・インスタンスまたは選択されたアプリケーションのみ、多様なリスク・レベルのエンタイトルメントまたはロール外部のエンタイトルメントおよび選択されたエンタイトルメントのみ。これらのオプションはレビュー中にレビューアに提供されるアクセス権限を制御します。

4.8.4.4 構成

これらは各証明定義に関する構成設定です。表4-8「一般的な構成設定」で説明されているグローバル構成設定とは無関係です。これらはレイアウトと各証明定義に関連する特定のアクションを制御する一般設定であり、その証明定義のみに適用されます。

4.8.4.5 レビューア

これはレビューアの選択に関する手順です。証明の種類により、レビューアの選択オプションが異なります。ユーザー証明の場合は、ユーザー・マネージャ、組織証明者または選択されたユーザー(検索を使用)を使用して証明定義にレビューアを指定することができます。マルチフェーズ・レビューの詳細は、第4.8.2項「マルチフェーズ・レビューと高度な委任機能」を参照してください。

4.8.4.6 増分

この手順では、証明の種類が「増分」かどうかを制御します。「有効」が選択されると、証明定義で以前の証明サイクル以降に変更されたユーザー・アクセス権限が考慮されます。「以前の値を表示」が「有効」だと、以前に証明されたユーザー・アクセス権限も表示されますが、それらは自動的に証明済になります。「増分日付範囲」も指定できます。

4.8.4.7 サマリー

管理者がレビュー目的でウィザードをナビゲートすると、このページに選択された多様な構成オプションの概要が示されます。「戻る」ボタンをクリックすると、構成アクションを変更できます。「作成」をクリックすると、証明定義が生成され、定義を実行するためのジョブがスケジュール設定され、そのジョブが実行されます。これにより、レビューの直後に定義に基づいて証明が作成されます。

4.8.5 証明のスケジュール設定

証明定義が作成されると、ジョブが自動的にスケジュールされ、ただちに実行が設定されます。これにより、定義に基づく最初の証明が作成されます。後で再度定義を実行して証明を再作成したり、定義の実行スケジュールを設定するには、「スケジューラ」ページを使用できます。

証明定義の実行を特定の時間にスケジュールするには:

1. 「システム管理」→「スケジューラ」の順に選択して、証明定義を見つけます。

2. 証明定義を選択します。右側のペインに、設定可能な様々なスケジュール・オプションが表示されます。スケジュール・オプションは次のとおりです。

1. 周期的: 周期的に証明を実行します。

2. cron: 管理者が希望する時間に証明を実行するためのcron式を設定できるようにします。

3. 1回: 証明を1回実行します。

4. 事前定義済スケジュールなし: 証明を実行しません。

5. 即時実行: 証明定義ジョブをただちに実行します。

3. 「適用」をクリックして、証明定義ジョブ・スケジューラに変更を適用します。

4.8.6 クローズド・ループ是正および是正の追跡の理解

クローズド・ループ是正は、証明プロセスで取り消されたロールやエンタイトルメントの結果として、Oracle Identity Managerプロビジョニング・ソリューションからロールやエンタイトルメントを直接取り消すことができる機能です。是正ステータスは、監査目的のため是正追跡モジュールで追跡することができます。

是正の自動化のためにクローズド・ループ是正を有効にする方法は、第4.8.1項「アイデンティティ証明の構成」を参照してください。

完了した証明で無効にされたすべてのアクセス権限の是正ステータスは、追跡IDを使用して証明ダッシュボードで追跡できます。追跡IDをクリックすると、Oracle Identity Manager (リクエスト追跡)での証明の是正ステータスが表示されます。

切断されたすべてのアプリケーション・インスタンスについて、Oracle Identity Managerでワークフローを構成し、無効にされたアクセス権限をチケット・システムか管理者にルーティングして手動で無効にできます。

4.8.7 Excelベースの証明サインオフのためのADFDiプラグインのインストール

アイデンティティ証明をオフライン・サインオフのためにExcelファイルにエクスポートするには、Microsoft ExcelをサポートするADFデスクトップ統合プラグインがクライアント・システム上にインストールされている必要があります。プラグインのダウンロード、インストールおよび構成の手順は以下を参照してください。

DIランタイム・エディションのセットアップ手順:

http://docs.oracle.com/cd/E26098_01/web.1112/e16180/ap_enduseractions.htm#CIHJABEJ

DIデザインタイム・エディションのセットアップ手順:

http://docs.oracle.com/cd/E26098_01/web.1112/e16180/inst_conf_dev_env.htm#CHDHJIIG

4.8.8 アイデンティティ証明の前提条件

ユーザー・アカウントおよびエンタイトルメントを含む証明を作成するには、Oracle Identity Managerにインストールされた各コネクタに次の前提手順を実行する必要があります。

1. Oracle Identity Manager Design Consoleにログインします。

2. 「開発ツール」の下で、「フォーム・デザイナ」をクリックします。

3. 「検索」をクリックします。これにより使用可能なすべてのフォームがリストされたフォーム・デザイナ表が表示されます。

4. システムにインストールされたコネクタのそれぞれに親フォームを選択します。親フォームには、ターゲット・システム内のアカウント名を格納する「ユーザーID」フィールドがあります。たとえば、UD_ADUSER、UD_EBS_USERなど。

5. フォームを選択すると、新しく「フォーム・デザイナ」タブが開きます。

6. 「新しいバージョンの作成」をクリックします。ポップアップ・ウィンドウに、たとえば「v2」などの名前を入力します。

7. 「保存」をクリックして、ポップアップ・ウィンドウを閉じます。

8. 「現行バージョン」ドロップ・ダウンで、新しく作成されたバージョン「v2」が選択されていることを確認し、「プロパティ」タブをクリックします。

9. ターゲット・システム内でアカウントを一意に識別するフィールドを見つけます。つまり、UserID、UserName、AccountNameは定義済コネクタ内の典型的なフィールドです。

10. 「プロパティの追加」をクリックして、AccountName = trueプロパティ設定を追加します。

11. ITResourceフィールド(大半のコネクタはこれをITResourceLookupFieldプロパティで識別します)を見つけて、「プロパティの追加」をクリックし、ITResource = trueプロパティ設定を追加します。

12. 親フォームを保存して、「バージョンのアクティブ化」をクリックします。

13. 各リソースに繰り返します。

5 IBM WebSphereでのAccess Managerの管理

この章では、IBM WebSphere上でAccess Managerを管理する場合の相違(WebLogic Serverの場合との)について説明します。

この章には次の項が含まれます:

- デプロイ先がWebLogic Serverの場合とIBM WebSphereの場合のAccess Managerの相違

- IBM WebSphereでのOracle Access ManagerのWLSTコマンドの使用

- Access Managerで使用できるスレッド数を増やす方法

- x509の認証の構成

- RSA SecurID認証プラグインのデプロイ

- WebSphere上で実行されるAccess ManagerのWindowsネイティブ認証用の構成

- IBM WebSphere上でのAccess Managerのテスト環境から本番環境への移行

5.1 デプロイ先がWebLogic Serverの場合とIBM WebSphereの場合のAccess Managerの相違

Access Managerの次の機能は、Access ManagerがWebLogic Serverにデプロイされた場合にのみサポートされます。

- OSSOエージェント - 非OHS httpサーバーではmod_ossoはサポートされません。WebSphere上のOAMの場合、パートナはIHSである必要があるためです。OSSO10gのOAM-WebSphereへの移行もサポートされません。また、OSSO10gはOC4Jでのみサポートされていました。これからOAM-WLSへの移行のみがサポートされます。

- IAMSuiteエージェント - IAMSuiteエージェント(ドメイン・エージェント)は、WebLogic Serverについては非推奨のマークが付けられました。これはOAM-WASの最初のリリースなので、WAS上でのIAMSuiteエージェントのサポートはありません。Identity Managementのコンポーネントをフロントエンドするには、IHS WebGateを使用する必要があります。詳細は、『Oracle Fusion Middleware Oracle Identity Managementエンタープライズ・デプロイメント・ガイド』を参照してください。

- OAM NAP簡易モード - IBM JDKでは、NAP簡易モードに必要なアルゴリズムがサポートされていません。

- OAMとOIMの統合のためのNAP自動ログイン - OAMとOIMの間での自動ログインはサポートされていますが、これはTAPフロント・チャネル統合に基づく必要があります。NAPに基づく自動ログインはWebLogic Serverではサポートされておらず、WebSphereでもサポートされません。

- IDMドメイン・エージェント - Oracle Access ManagementをIBM WebSphereにデプロイするためにIDMドメイン・エージェントを削除したり無効にする必要はありません。

注意:

OAMとOAAMの統合のために、TAPを使用したOAAMAdvancedSchemeが推奨されています。

5.2 IBM WebSphereでのOracle Access ManagerのWLSTコマンドの使用

IBM WebSphereのwsadminコマンドライン・インタフェースから、Oracle Access Managerのコマンドを実行できます。詳細は、「Oracle Fusion Middlewareのwsadminコマンドの使用」を参照してください。

Access Managerのコマンドの詳細は、WebLogic Scripting Toolコマンド・リファレンスを参照してください。Oracle Access Managementのコマンドの機能は、WebLogicでもWebSphereでも同じです。ただし、Access Managerのwsadminコマンドを実行するときには、コマンド名の先頭にAccess Managerのカテゴリ名Oamを付ける必要があります。例:

Oam.displayOAMMetrics()

WebSphereサーバーにオンライン・モードで接続するには、次のコマンドを使用します。

./wsadmin.sh -connType SOAP -host <HOST_NAME> -port <SOAP_PORT> -user <ADMIN_USER> -password <ADMIN_PASSWORD>

説明:

HOST_NAME、SOAP_PORT、ADMIN_USERおよびADMIN_PASSWORDには、使用している環境に合わせて正しい値を指定します。

domainRuntime()を取得するためのWebSphereメソッドはありません。そのため、必要な場合は引数としてdomainHomeを渡す必要があります。これは、オンライン・コマンドでもオフライン・コマンドでも必要です。WebSphereアプリケーション・サーバーのdomainHomeは次のとおりです。

<WAS_HOME>/profiles/<PROFILE_NAME>/config/cells/<CELL_NAME>

5.3 Access Managerで使用できるスレッド数を増やす方法

Oracle Access Managementサーバーに対する同時リクエストの数が多くなりすぎて、すべてのワーカー・スレッドが現在処理中の状態になると、ThreadPoolQueueIsFullExceptionエラーが発生することがあります。予想される同時リクエスト数に基づいてワーク・マネージャの構成を調整すれば、サーバーがより多くのリクエストを受け入れられるようになります。

これを行うには、次の手順に従います。

1. WebSphereアプリケーション・サーバーの管理コンソールにログインします。

2. 「Resources」→「Asynchronous Beans」→「Work Managers」→「OAMServerWorkManager」を選択します。

3. OAMServerWorkManagerの最大スレッド数を50からもっと大きな値(たとえば500)に増やします。

5.4 x509の認証の構成

x509を構成してリソースを保護するには、次の手順を実行します。

- 「サーバー証明書とトラスト・ストアの作成」

- 「ストアの構成」

- 「ユーザー証明書の作成」

- 「ルートCA証明書のストアへの追加」

- 「X509認証スキームを使用したリソースの保護」

- 「X509で保護されたリソースへのアクセス」

5.4.1 サーバー証明書とトラスト・ストアの作成

1. 認証局を使用して、Oracle Access Managementサーバー・マシン用の署名付き証明書をWebSphereセル内に作成します。証明書の詳細にマシン名を含め、証明書を.p12形式で保存してください。

2. 次のサンプル・コマンドに示すように、サーバー・ストアを作成します。

keytool -importkeystore -deststorepass samplepassword -destkeystore server.jks –srckeystore my-server.p12 – srcstoretype PKCS12 -srcstorepass samplepassword -alias "Server"

注意:

keytoolユーティリティを使用して、鍵と証明書をJKS形式で作成して管理します。コマンドとオプションの詳細は、WebSphereアプリケーション・サーバーに付属のJDKのドキュメントを参照してください。

3. JAVA_HOME/binディレクトリに移動します。

4. 次のコマンドを実行してトラスト・ストアを作成します。

keytool -import -alias trust -file scratch/simpleCA/ca.pem -keystore trust.jks

5.4.2 ストアの構成

SSL証明書とクライアント証明書の両方を有効にする必要があるWebSphereサーバー・インスタンスを構成します。

キーストア・サーバー・ストアを追加します。

1. WebSphere管理コンソールで、「SSL certificate and key management」→「Key stores and certificates」→「New」を選択します。
フォームに必要な情報を入力し、サーバー・ストアのパスを指定します。

2. 「Personal Certificates」をクリックし(「SSL certificate and key management」→「Key stores and certificates」→「server store name」→「Personal certificates」を選択して)、サーバー証明書が表示されることを確認します。表示されない場合は、サーバー・ストアからサーバー証明書をインポートします。

3. 「Signer Certificate」ページを開き(「SSL certificate and key management」→「Key stores and certificates」→「server store name」→「Signer certificates」を選択して)、ルートCA証明書が表示されることを確認します。表示されない場合は、ルートCA証明書を追加します。

トラスト・ストアを追加します。

1. WebSphereの管理コンソールで、「SSL certificate and key management」→「Keystores and certificates」→「New」を選択します。
フォームに必要な情報を入力し、トラスト・ストアのパスを指定します。

2. 「Signer Certificate」ページを開き(「SSL certificate and key management」→「Key stores and certificates」→「trust store name」→「Signer certificates」を選択して)、ルートCA証明書が表示されることを確認します。表示されない場合は、ルートCA証明書を追加します。

3. 「SSL certificate and key management」→「Key stores and certificates」→「CellDefaultTrustStore」→「Signer certificates」を選択し、ルートCA証明書を追加します。

新しいSSL構成を作成して設定を調整します。

1. 「SSL certificate and key management」→「SSL configurations」を選択します。
「New」をクリックします。

2. フォームに必要な情報を入力し、OAMサーバーの新しい構成を作成します。前述の手順で追加したトラスト・ストアとキーストアの名前を選択します。

3. 「Quality of protection (QoP) settings」をクリックし(「SSL certificate and key management」→「SSL configuration」→「oam server ssl config name」→「Quality of protection (QoP) settings」を選択して)、「Client authentication」メニューから「Required」を選択します。
「Apply」をクリックします。

4. 「SSL certificate and key management」→「Manage endpoint security configurations」を選択します。
インバウンド・エンドポイントを開き(「Inbound」→「DefaultCell(CellDefaultSSLSettings)」→「nodes」→「DefaultNode(NodeDefaultSSLSettings)」→「servers」)、oamサーバー・インスタンスをクリックして編集します。

「Specific SSL configuration for this endpoint」セクションで「Override inherited values」を選択し、「SSL configuration」メニューからOAMサーバーのSSL構成名を選択します。

「Apply」をクリックし、アウトバウンド・エンドポイントについて同じ手順を繰り返します。

5. ノードを同期化します。

6. nodeagentを再起動します。

7. Oracle Access Managementサーバーを再起動します。

5.4.3 ユーザー証明書の作成

認証局を使用して、署名付きのユーザー証明書を作成します。証明書がリクエストされる対象となるユーザー名を証明書の詳細に含め、証明書を.p12形式で保存してください。

証明書をブラウザにインストールします。

5.4.4 ルートCA証明書のストアへの追加

WebSphere上でSSLを有効にするには、次の場所にある.oamkeystoreおよびamtruststoreファイルに証明書ユーティリティのルート証明書を追加します。

<WAS_HOME>/profiles/Dmgr01/config/cells/DefaultCell01/fmwconfig

.oamkeystore / amtruststoreのパスワードを取得するには:

1. コマンドラインで、次のディレクトリに移動します。

$WAS_HOME/oracle_common/common/bin/

2. wsadmin.shコマンドを次のように実行します。

wsadmin.sh -conntype SOAP -port <SSL_SOAP_PORT> -user <username>

3. wsadminシェルから次のコマンドを実行します。

Opss.listCred(map="OAM_STORE", key="jks")

パスワードが表示されます。

CA証明書を.oamkeystore / amtruststoreファイルに追加するには:

次のサンプルkeytooコマンドに示すように、CA証明書を.oamkeystoreファイルおよびamtrustoreファイルに追加します。

注意:

keytoolコマンドとオプションの詳細は、WebSphereアプリケーション・サーバーに付属のJDKのドキュメントを参照してください。

./keytool -importcert -alias ROOT_CA -file /scratch/CA/ca.pem -keystore <WAS_HOME>/Dmgr01/config/cells/DefaultCell01/fmwconfig/.oamkeystore -storepass oru8nd3hhd4t4nrmh6unhv825b -storetype jceks

./keytool -importcert -alias ROOT_CA -file /scratch/CA/ca.pem -keystore <WAS_HOME>/Dmgr01/config/cells/DefaultCell01/fmwconfig/amtruststore -storepass oru8nd3hhd4t4nrmh6unhv825b -storetype jks

注意:

サンプルkeytoolコマンドの-storepassの値は、「.oamkeystore / amtruststoreのパスワードを取得するには」の項で説明した手順を使用して取得されます。

5.4.5 X509認証スキームを使用したリソースの保護

1. Oracle Access Management管理コンソールで、「ポリシー構成」→「共有コンポーネント」→「認証スキーム」→「X509Scheme」を選択します。

2. 「チャレンジURL」ボックスで、値を管理対象サーバーのSSLポートに変更します。
例:

https://<管理対象サーバーのホスト名>:<管理対象サーバーのSSLポート番号>/oam/CredCollectServlet/X509

3. X509認証スキームを使用してリソースを保護するには、「ポリシー構成」→「アプリケーション・ドメイン」→「ドメイン名」→「認証ポリシー」→「保護リソース・ポリシー」を選択します。
「認証スキーム」メニューからX509スキームを選択します。

5.4.6 X509で保護されたリソースへのアクセス

1. ユーザー証明書がインストールされているブラウザを使用して、リソースを開きます。
ブラウザから、接続に使用する証明書を選択するように求められます。

2. 有効なユーザー証明書を選択して「OK」をクリックします。
リソースが表示されます。

5.5 RSA SecurID認証プラグインのデプロイ

RSA SecurID認証プラグイン(authn_securid)をWebSphere上にデプロイする場合は、次の要件に注意してください。

- WebSphereで次のディレクトリ構造を作成し、エージェント構成ファイル(sdconf.rec)をoamディレクトリ内に配置します。
Fusion Middlewareのconfigディレクトリと相対的な次のパスを作成します。

fmwconfig/../../../servers/oam_server1/oam

または、プロファイル・ホーム・ディレクトリと相対的な次のパスを作成します。

<PROFILE_HOME>/servers/oam_server1/oam

注意:

詳細は、Oracle Access Management管理者ガイドのRSA SecurID認証用のAccess Managerの構成に関する項を参照してください。

- 次のサード・パーティJARファイルをダウンロードします。

- authapi.jar

- cryptoj.jar

これらのJARファイルを次のディレクトリに追加します。

fmwconfig/oam/plugin-lib

これは、カスタムRSAプラグインを実行するために必要な手順です。

5.6 WebSphere上で実行されるAccess ManagerのWindowsネイティブ認証用の構成

WebSphere上で実行されているAccess ManagerをWindowsネイティブ認証(WNA)用に構成するには、キー・タブ・ファイルのパスを次の書式でoam-config.xmlファイル内に指定します。

file://<キー・タブ・ファイルのパス>

UNIX環境の場合は、次のようなパスを指定します。

<Setting Name="keytabfile"           Type="xsd:string">file:///refresh/home/oam.keytab
</Setting>

Windows環境の場合は、次のようなパスを指定します。

<Setting Name="keytabfile"           Type="xsd:string">file://C:\\dir\\oam.keytab
</Setting>

詳細は、Oracle Access Manager管理者ガイドのWindowsネイティブ認証のためのAccess Managerの構成に関する項を参照してください。

5.7 IBM WebSphere上でのAccess Managerのテスト環境から本番環境への移行

この項では、Access Managerをテスト環境から本番環境にコピーする方法について説明します。本番環境をテスト環境にコピーする場合にも、同じ手順を使用します。

この項の内容は次のとおりです。

- IBM WebSphere上でのAccess Managerの移行の概要

- 制約と制限事項

- ソース環境からターゲット環境への移行手順の概要

- 前提条件

- Access Managerのテストから本番への移行

5.7.1 IBM WebSphere上でのAccess Managerの移行の概要

Access Managerをソース環境からターゲット環境に移行できます。

Access Managerを移行すると、移行しなかった場合に移行元の環境でのカスタマイズや構成変更を移行先の環境にすべて再適用するために必要となる作業を最小限に抑えられます。ソース環境では、Access Managerのインストール、構成、カスタマイズおよび検証を行うことができます。システムが安定し、必要に応じて機能するようになったら、ターゲット環境を作成しますが、このとき、ソース環境に取り込んだすべての変更内容を再実行するかわりに、コンポーネントとその構成のコピーをソース環境から移行することでターゲット環境を作成できます。

5.7.2 制約と制限事項

Access Managerを1つのIBM WebSphere環境から別のWebSphere環境に移行する手順については、次の制約と制限事項があります。

- この手順は、自身のポリシー・ストアがデータベース内に存在する場合に使用してください。この手順では、LDAPベースのポリシー・ストアをテストから本番に移行する方法は説明していません。

- システム間でのユーザー・アイデンティティ・ストアの移行はサポートされていません。

- この手順を使用してMobile and Socialをテストから本番に移行することはできません。

- OracleがIBM WebSphere用に提供しているテストから本番への移行(T2P)用のコマンドは、WebLogic環境用と同じツールではありません。IBM WebSphere用のコマンドでは、環境間でファイルを移行するための完全レプリケーション・オプションやゴールデン・テンプレート・オプションはサポートされていません。

5.7.3 ソース環境からターゲット環境への移行手順の概要

Access Managerをテスト環境から本番環境に移行する手順には、次のように多くのステップが含まれます。

1. テスト(ソース)システムで、exportConfigコマンドを実行します。
このコマンドでは、次が実行されます。

- キーストア(たとえばoamkeystoreやコヒーレンス・キーストア)をエクスポートする。

- OAM構成をエクスポートする

- パスワード・ポリシーも含めたポリシーをエクスポートする

- パートナをエクスポートする

- エクスポートしたデータ用にwast2p.zipという名前のファイルを作成し、そのファイルを指定されたディレクトリに保存する

このコマンドの完了後、アーカイブは本番(ターゲット)システムに転送されます。

2. OPSSポリシー・ドメインをテスト・データベースからエクスポートし、OPSS暗号化鍵をエクスポートします。

3. 本番(ターゲット)システムで、importConfigコマンドを実行します。
このコマンドでは、次が実行されます。

- 本番環境でwast2p.zipアーカイブを開く。

- キーストアをインポートする

- 本番環境にインストールされたAccess Managerを更新することにより、OAM構成をインポートする

4. 本番(ターゲット)システムで、updateConfigコマンドを実行します。
このコマンドでは、次が実行されます。

- パスワード・ポリシーも含めたポリシーをインポートする

- パートナをインポートする

- MultiDataCenterクラスタIDを更新する

5. OracleAdminサーバー、管理対象サーバーおよびノード・エージェントを停止し、OPSS暗号化鍵をインポートします。

6. OPSSポリシー・データを本番(ターゲット)データベースにインポートします。

7. デプロイメント・マネージャを停止して起動します。Sync Node、ノード・エージェント、管理サーバーおよび管理対象サーバーを起動します。

5.7.4 前提条件

この章で説明している手順を続行する前に、次の要件が満たされていることを確認してください。

Oracle Access Managementのインストール

Oracle Access Managementを本番(ターゲット)環境にインストールします。Oracle Access Managementのバージョンおよびビルド番号が、テスト環境と本番環境で一致していること、そしてすべての構成ファイルで一致していることを確認してください。

管理サーバーと管理対象サーバーが稼働中であることの確認

管理サーバーと管理対象サーバーが起動していて稼働中であることを確認します。

5.7.5 Access Managerのテストから本番への移行

次の手順を順序どおりに実行します。

1. テスト(ソース)システムで、次のexportConfigコマンドを実行します。
Oam.exportConfig('<TargetDir>')

説明:

TargetDirは、アーカイブを保存するディレクトリのパスです。

例:

Oam.exportConfig('scratch/bkup')

2. 前のステップで作成したアーカイブを本番環境に移行します。

3. OPSSポリシー・ドメインをテスト・データベースからエクスポートします。
使用しているデータベースに適したエクスポート方法を使用してください。例:

./expdp system/welcome1@orcl DIRECTORY=DATA_PUMP_DIR SCHEMAS=<OPSS_schema name>DUMPFILE=export.dmp PARALLEL=2 LOGFILE=export.log

4. oracle_common/common/binから次のwsadminコマンドを使用して、OPSS暗号化鍵をエクスポートします。

Opss.exportEncryptionKey('<jpsConfigFilePath>','<keyFilePath>', '<keyFilePassword>')

説明:

<jpsConfigFilePath>は、テスト環境内でのファイルの絶対位置です。

<keyFilePath>は、ewallet.p12ファイルが作成される場所となるテスト環境内のディレクトリです。このファイルの内容は、keyFilePasswordを使用して暗号化されて保護されます。

<keyFilePassword>は、fileewallet.p12ファイルを保護するために使用されるパスワードです。このファイルをインポートするときには、これと同じパスワードを使用する必要があります。

5. 本番(ターゲット)環境で、importConfigコマンドを実行します。管理サーバーと管理対象サーバーが稼働している必要があります。次のコマンドを使用します。
Oam.importConfig('<ZipLocation>')

説明:

ZipLocationは、前のステップでコピーしたアーカイブ・ファイルがある場所のパスです。

例:

Oam.importConfig('scratch/bkup/wast2p.zip')

注意:

同期の問題のため、インポートを実行する前に本番環境でデプロイメント・マネージャを再起動する必要が生じる場合があります。importConfigコマンドの結果がエラーになる場合や予期したとおりの結果にならない場合には、デプロイメント・マネージャを再起動してコマンドを再び実行してください。インポート後に、キーストアとOAM構成を更新する必要があります。

6. 本番(ターゲット)環境で、updateConfigコマンドを実行します。管理サーバーと管理対象サーバーが稼働している必要があります。次のコマンドを使用します。
Oam.updateConfig('<ZipLocation>')

説明:

ZipLocationは、前のステップでコピーしたアーカイブがあるディレクトリのパスです。

注意:

同期の問題のため、更新を実行する前に本番環境で管理サーバーと管理対象サーバーを再起動する必要が生じる場合があります。updateConfigコマンドの結果がエラーになる場合や予期したとおりの結果にならない場合には、管理サーバーと管理対象サーバーを再起動してコマンドを再び実行してください。

7. Oracle管理サーバーおよび管理対象サーバーを停止し、ノード・エージェントを停止します。

8. oracle_common/common/binから次のwsadminコマンドを使用して、OPSS暗号化鍵をインポートします。

Opss.importEncryptionKey('<PROD_jpsConfigFilePath>','<PROD_keyFilePath>',
'<keyFilePassword>')

説明:

<PROD_jpsConfigFilePath>は、本番環境内でのファイルの絶対位置です。

<PROD_keyFilePath>は、ewallet.p12ファイルが作成される本番環境内のディレクトリです。このファイルの内容は、keyFilePasswordを使用して暗号化されて保護されます。

<keyFilePassword>は、fileewallet.p12ファイルを保護するために使用されるパスワードです。

9. OPSSポリシー・データを本番データベースにインポートします。
使用しているデータベースに適したインポート方法を使用してください。例:

/impdp system/welcome1@orcl DIRECTORY=DATA_PUMP_DIR DUMPFILE=export.dmp PARALLEL=2 LOGFILE=import.log remap_schema=<Test schema name>_OPSS:<Prod schema name>_OPSS  remap_tablespace=<Test schema name>_IAS_OPSS:<Prod schema name>_IAS_OPSS TABLE_EXISTS_ACTION=REPLACE

10. 次の操作を実行します。

1. デプロイメント・マネージャを停止して起動します。

2. ノードを同期化します。

3. ノード・エージェントを起動します。

4. 管理サーバーと管理対象サーバーを起動します。

6 IBM WebSphereでのOracle Access Manager IDアサーションの管理

IBM WebSphere Application Server (IBM WebSphere)に対してOracle Access Manager IDアサーション・プロバイダを使用して、Oracle Access Manager 10g (10.1.4.3)または11gで認証およびシングル・サインオンを提供することができます。

この章の内容は次のとおりです。

- IBM WebSphereでのOAM IDアサーションの概要

- Oracle Access Manager IAP for IBM WebSphereのコンポーネントのインストール

- Oracle Access Manager 10g (10.1.4.3)構成ツールの概要

- IBM WebSphereに対するWebGateのプロビジョニングとOAM 10g (10.1.4.3)およびIAPの構成

- IAPおよびIBM WebSphereに対するOAM 11gのプロビジョニングおよび構成

- IHS Web Serverに対する必須WebGateのインストール

- IHS Webサーバーの準備

- WebGateに対するログイン・フォームの作成

- OAM SSOおよびIAPに対するIBM WebSphereの構成

- OAM IAP for IBM WebSphereに対するSSOログアウトの構成

- 既知の問題

注意:

詳細は、「サポートされているIBM WebSphere Application Server」を参照してください。IBM WebSphereポータルでのOAMの使用については、第7章「Oracle Access Manager IDアサーションとIBM WebSphereポータルの統合」で説明しています。

6.1 IBM WebSphereでのOAM IDアサーションの概要

Oracle Access Manager IDアサーション・プロバイダはOracle Fusion Middlewareに組み込まれています。OracleではIBM WebSphereに対応するIDアサーション・プロバイダを用意しており、これを使用してOAMセッションのインターセプトと検証、およびIBM WebSphere固有のセッションの生成を実行できます。

IBM WebSphereでは、Trust Association Interceptor (TAI)を使用することにより、外部オーセンティケータによるシングル・サインオン(SSO)が許可されます。TAIインタフェースのメカニズムにより、外部オーセンティケータはユーザー認証を実行し、IBM WebSphereに対してIDをアサートします。IBM WebSphere対応のOracle Access Manager IDアサーション・プロバイダは、TAIインタフェースを使用してOAMセッションからIBM WebSphereに対してユーザーIDをアサートします。IBM WebSphereは、IDアサーション・プロバイダからユーザーID情報を受信するとただちに、ユーザー・レジストリ内にユーザーが存在するかどうかを問い合わせます。

IBM WebSphere対応のOracle Access Manager IDアサーション・プロバイダは、IBM WebSphereに対してユーザーIDをアサートするために有効なOAMセッションを必要とします。通常、これはフロントエンドのIBM WebSphereに対してIBM HTTP Server (IHS)リバース・プロキシを使用することで実行されます。OAM WebGateはIHSプロキシにインストールされていて、Oracle Access Managerに対するユーザーの認証に使用されます。ユーザーの認証が正常に行われると、WebGateはOAMセッション・トークンを生成します。その後、IHSプロキシはこのセッション・トークンをIBM WebSphereに転送します。IDアサーション・プロバイダはリクエストをインターセプトして、セッション・トークンのユーザーIDをIBM WebSphereに対してアサートします。

IDアサーション・プロバイダは、HTTP CookieまたはHTTPリクエスト・ヘッダーのいずれかを使用してIDアサーションを実行します。したがって、IAPはCookieベースのアサーションまたはヘッダー・ベースのアサーションに対応できるように構成できます。

- Cookieベースのアサーション: OAMセッション・トークン(ObSSOCookie)に基づいています。この構成では、IDアサーション・プロバイダはObSSOCookieの可用性をチェックし、それを検証します。検証が成功すると、セッションCookie内のユーザーIDがIBM WebSphereに対してアサートされます。

- ヘッダー・ベースのアサーション: HTTPリクエスト・ヘッダーに基づいています。この構成では、IDアサーション・プロバイダはリクエストの特定の(構成可能な)リクエスト・ヘッダーの可用性をチェックします。使用可能な場合、ヘッダー内のユーザーIDがIBM WebSphereに対してアサートされます。

詳細は、次の項を参照してください。

- シナリオ1: IBM WebSphereでIAPを使用するOracle Access Manager 10g (10.1.4.3)

- シナリオ2: IAPおよびIBM WebSphereを使用するOAM 11g

6.1.1 シナリオ1: IBM WebSphereでIAPを使用するOracle Access Manager 10g (10.1.4.3)

このシナリオでは、Java EEアプリケーションがOracle Access Manager 10g (10.1.4.3)に依存してユーザーの認証と認可を行います。このアプリケーションはIBM WebSphereにデプロイされており、IDアサーション・プロバイダを使用してOracle Access Manager 10g (10.1.4.3)に対してSSOを実行します。

図6-1 OAM 10g (10.1.4.3)およびIAPを使用するコンポーネントとプロセス・フロー

「図6-1 OAM 10g (10.1.4.3)およびIAPを使用するコンポーネントとプロセス・フロー」の説明

プロセスの概要: IBM WebSphereでのIDアサーション

1. ブラウザからIHSプロキシWebサーバーへ: ユーザーはプロキシIHSホストおよびポートを使用してIBM WebSphereリソースにアクセスします。これによって、IHS Webサーバーにインストールされた10g (10.1.4.3) WebGateがトリガーされてユーザーの認証と認可が行われます。

2. WebGateからアクセス・サーバーへ: WebGateは、Oracle Accessプロトコル(OAP)を使用してOAM 10g (10.1.4.3)と通信します。アクセス・サーバーはポリシー・ストアをチェックして、リクエストされたリソースを保護するポリシーをすべて検出します。WebGateはアクセス・サーバーを介して、指定された認証スキームに基づいてユーザーから資格証明情報を収集し、ユーザーが認証可能かどうかを検証します。認証が成功した時点で、WebGateはアクセス・サーバーを介してユーザーを認可し、IHS Webサーバー上のリクエストされたリソースにアクセスします。さらにWebGateは、OAMポリシーに指定されているように、リクエスト内に認可ヘッダーを設定します。

3. WebサーバーからIBM WebSphereへ: IHS WebサーバーはIBM WebSphereのプロキシとして機能し、OAM 10g (10.1.4.3) WebGateによる認可が成功した後でリクエストをIBM WebSphereに転送します。また、IHS Webサーバーは、リクエスト内で設定されたHTTP Cookieとリクエスト・ヘッダーをIBM WebSphereに転送します。
リクエストは、IBM WebSphereでOAM IAPによってインターセプトされます。その後で、OAMのTAIはCookieとHTTPヘッダーを検証します。OAM IAPはCookieベースのアサーションのために10g (10.1.4.3)アクセス・サーバーと通信して、セッション・トークンを検証し、セッションに関するユーザー情報を取得します。TAIは、IBM WebSphereに対してこのユーザーIDをアサートします。

IBM WebSphereは、ユーザー・レジストリ(構成済LDAPインスタンス)内で、OAM IAPにより指定されたユーザーの有無をチェックします。ユーザーが見つかった場合は、アサーションが正常に行われます。このシナリオでは、IBM WebSphereはユーザーのパスワードをチェックしたり、リクエストしたりすることはありません。

4. SSOログアウト: 「OAM IAP for IBM WebSphereに対するSSOログアウトの構成」を参照してください。

6.1.2 シナリオ2: IAPおよびIBM WebSphereを使用するOAM 11g

このシナリオでは、Java EEアプリケーションがOracle Access Manager 11gに依存してユーザーの認証と認可を行います。Java EEアプリケーションはIBM WebSphereにデプロイされており、OAM IAP for IBM WebSphereを使用してSSOをOracle Access Manager 11gに統合します。

図6-2 OAM 11gおよびIAPを使用するコンポーネントとプロセス・フロー

「図6-2 OAM 11gおよびIAPを使用するコンポーネントとプロセス・フロー」の説明

プロセスの概要: Oracle Access Manager 11gによるIDアサーション

1. ブラウザからIHSプロキシWebサーバーへ: ユーザーはプロキシIHSホストおよびポートを使用してリソース(IBM WebSphere上のサンプル・アプリケーション)にアクセスします。これによって、インストールされたOAM 10g (10.1.4.3) WebGateがトリガーされてユーザーの認証と認可が行われます。

2. OAM 10g (10.1.4.3) IHS WebGateは、Oracle Accessプロトコル(OAP)全体にわたってOAM 11gサーバーと通信します。
OAM 11gサーバーはポリシー・ストアをチェックして、リクエストを保護するポリシーを検出します。

WebGateとOAM 11gサーバーは、ポリシーに指定された認証スキームに基づいてユーザーから資格証明情報を収集し、OAM 11gサーバーはユーザーが認証可能かどうかを検証します。

認証が成功した時点で、WebGateとOAMサーバーはユーザーを認可し、その後で、IHS Webサーバー上のリクエストされたリソースへのアクセス権が付与されます。WebGateは、OAMポリシーに指定されているように、リクエスト内に認可ヘッダーを設定します。

3. WebサーバーからIBM WebSphereへ: IHS WebサーバーはIBM WebSphereのプロキシとして機能し、OAM 10g (10.1.4.3) WebGateによる認可が成功した後でリクエストをIBM WebSphereに転送します。また、IHS Webサーバーは、リクエスト内で設定されたHTTP Cookieとリクエスト・ヘッダーをIBM WebSphereに転送します。
リクエストは、IBM WebSphereでOAM IAPによってインターセプトされます。その後で、OAMのTAIはCookieとHTTPヘッダーを検証します。OAM IAPはCookieベースのアサーションのためにOAM 11gサーバーと通信して、セッション・トークンを検証し、セッションに関するユーザー情報を取得します。TAIは、IBM WebSphereに対してこのユーザーIDをアサートします。

IBM WebSphereは、ユーザー・レジストリ(構成済LDAPインスタンス)内で、(OAM IAPにより指定された)ユーザーの有無をチェックします。ユーザー・レジストリ内にユーザーが見つかった場合は、アサーションが正常に行われます。このシナリオでは、IBM WebSphereはユーザーのパスワードをリクエストしたり、チェックしたりすることはありません。

4. SSOログアウト: 「OAM IAP for IBM WebSphereに対するSSOログアウトの構成」を参照してください。

6.2 Oracle Access Manager IAP for IBM WebSphereのコンポーネントのインストール

この項では、IBM WebSphereを使用するOAM IDアサーションの有効化に必要なタスクの概要を説明します。

Oracle Access Manager IAP for IBM WebSphereは、IBM WebSphereに対応できるOracle Fusion Middlewareスイートの一部として使用できます。IAP for IBM WebSphere jarは、次の場所に置かれています。

MW_HOME/oracle_common/modules/oracle.oamprovider_11.1.1/
OAMTrustAssociationInterceptor.jar

Oracle Access Manager IAP for IBM WebSphere構成ファイルは、次の場所に置かれています。

MW_HOME/oracle_common/modules/oracle.oamprovider_11.1.1/
domain_config/was/oamtai.xml

注意:

Oracle Access Manager 10g (10.1.4.3)のコンポーネントおよびインストールは、Oracle Access Manager 11gのコンポーネントおよびインストールと異なります。ただし、その他のコンポーネントのインストール・タスクはすべて同じです。

タスクの概要: IBM WebSphere、OAM、およびIAPのコンポーネントのインストール

1. 第2章「Oracle Identity and Access ManagementのIBM WebSphereでのインストールおよび構成」での説明に従って、IBM WebSphereをインストールおよび設定します。

2. IBM HTTP Server 7.xは、IBM WebSphereの前面のリバース・プロキシとして使用できます。

注意:

IBM HTTP Server 7.xの場合は、IHS22 WebGateパッケージを使用します。

3. Oracle Access Manager: 次のいずれかをインストールします。

- OAM 10g (10.1.4.3): 『Oracle Access Managerインストレーション・ガイド10g』の説明に従ってインストールします。次のコンポーネントがあります。
10g (10.1.4.3)アイデンティティ・サーバー
10g (10.1.4.3)アクセス・サーバー
10g (10.1.4.3)ポリシー・マネージャ
10g (10.1.4.3) OHS 11のWebコンポーネントg Webサーバー: Webパス、ポリシー・
マネージャおよびWebゲート)

- OAM 11g: 『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』の説明に従ってインストールします。次のコンポーネントがあります。
Oracle Access Manager 11g (11.1.1.3.0)
Oracle Identity Manager 11g (11.1.1.3.0
Oracle WebLogic Server

4. WebGate: OAM 10g (10.1.4.3)またはOAM 11gのいずれを使用しているかにかかわらず、必須です。これは、この章で後述するプロビジョニングの後でインストールできます。

6.3 Oracle Access Manager 10g (10.1.4.3)構成ツールの概要

この項では、Oracle Access Manager 10g (10.1.4.3)とともに使用するプラットフォームを認識しない構成ツール、OAMCfgTool (oamcfgtool.jar)について概要を説明します。OAM 11gをデプロイしている場合は、この項をスキップしてください。

関連資料:

OAMCfgToolの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』

OAMCfgToolは、一連のスクリプトを自動的に実行し、ポリシーを設定するコマンドライン・ユーティリティです。OAMCfgToolは、必須のフォーム・ベースの認証スキーム、ポリシー・ドメイン、アクセス・ポリシー、およびIBM WebSphereのシングル・サインオンを実行するためのIDアサータのWebGateプロファイルを作成する際の入力として、一連のパラメータを必要とします。

注意:

OAMCfgToolにはJRE 1.5または1.6が必要です。Fusion Middlewareアプリケーション用の国際化されたログイン・フォームはこれらのアプリケーションを保護するポリシーに対応しています。

OAM 10g (10.1.4.3)をデプロイしている場合、OAM Config Toolを使用しないのであれば、『Oracle Access Manager Access管理ガイド』に説明するようにアクセス・システム・コンソールを手動で使用して、ホスト識別子、認証スキーム、およびOAMポリシーを手動で作成する必要があります。

例6-1 OAM IAP for IBM WebSphereに必須のアーティファクトを作成するための構成ファイルのサンプル・テンプレート。この例の後に追加情報を示します。

例6-1 OAMCfgToolおよびIAP for IBM WebSphereに対するサンプルのURIs_configファイル

-- Template-starts --
###################################
#
# OAM-WAS Integration using OAM IAP
#
###################################
protected_uris

###################################
#Resources protected with default authentication scheme
/webcenter/adfAuthentication

###################################
public_uris
###################################
#Public Policy required for Cookie Based Assertion
Cookie Based Assertion
/Authen/SSOToken
-- Template-ends --

例6-2では、OAM 10g (10.1.4.3)およびIAP for IBM WebSphereに対してアーティファクトを構成する際のOAMCfgToolのコマンドライン構文のサンプルを示しています。

例6-2 OAM 10g (10.1.4.3) IAPのアーティファクトを構成するOAMCfgToolの構文

(echo ldappwdjava -jar oamcfgtool.jar
mode=CREATE app_domain=OAMPolicy_for_WAS-IAP
uris_file=/path-to-template-config-file
web_domain=host-id-name
ldap_host=wxyz
ldap_port=6633
ldap_userdn=orcladmin
ldap_base=ldap-base-dn
oam_aaa_host=abcd
oam_aaa_port=7789
oam_aaa_mode=open
log_file=OAMCfg_date.log
log_level=INFO
output_ldif_file=<LDIF_filename>
-noprompt

前述のサンプル・コマンドにより、次のアーティファクトが生成されます。

- OAMPolicy_for_WAS-IAP、protected_urisおよびpublic_urisで指定されたIBM WebSphereリソースを保護するためのOAMポリシー

- OraDefaultAnonAuthNScheme、OAMPolicy_for_WAS-IAPが使用する匿名認証スキーム

- OraDefaultFormAuthNScheme、OAMPolicy_for_WAS-IAPが使用するフォーム認証スキーム

- その他のOAM認証スキームの構成

既知のリソースの場合、公開URIポリシーでは、表6-1に示すように、Cookieベースのアサーションに対する認可アクションで戻り属性が必要になります。この場合、戻り名OAM_REMOTE_USERはoamtai.xmlでは構成できません。

表6-1 公開URIポリシーでの「Cookieベースのアサーション」に対する認可アクション

タイプ

名前

戻り属性

HeaderVar

OAM_REMOTE_USER

uid

ヘッダー・ベースのアサーションを有効にするには、リソース(protected_uris)保護ポリシーの認可アクションに戻り属性を設定する必要があります。ヘッダー・ベースのアサーションを使用する場合、戻り名OAM_REMOTE_USERはoamtai.xmlファイルに構成可能であり、ヘッダー・ベースのアサーションのアクションが非コメント化されていることを確認する必要があります。

表6-2 公開URIポリシーでの「ヘッダー・ベースのアサーション」に対する認可アクション

タイプ

名前

戻り属性

HeaderVar

OAM_REMOTE_USER

uid

6.4 IBM WebSphereに対するWebGateのプロビジョニングとOAM 10g (10.1.4.3)およびIAPの構成

この項では、OAMCfgToolの取得、必須WebGateのプロビジョニング、フォーム認証スキームの作成および、IAPおよびIBM WebSphereに対するポリシー・ドメインとOAM 10g (10.1.4.3)ポリシーの作成に関する手順を説明します。

関連資料:

「Oracle Access Manager 10g (10.1.4.3)構成ツールの概要」

OAMCfgToolの取得および、IAP for IBM WebSphereに対するOAM 10g (10.1.4.3)の構成を行うには:

1. OAMCfgToolを次のように取得します。

1. 次のOracle Technology Networkにログインします。

http://www.oracle.com/technology/software/products/middleware/htdocs/111110_fmw.html

2. Access Managerのコア・コンポーネント(10.1.4.3.0)を使用してOAMCfgTool ZIPファイルを見つけます。

oamcfgtool<version>.zip

3. oamcfgtool.jarを抽出し、保護するIBM WebSphereアプリケーションをホストしているコンピュータにそれをコピーします。

4. JDK 1.6(または最新バージョン)がホスト・コンピュータにインストールおよび構成されていることを確認します。

5. OAMCfgToolが含まれているファイル・システム・ディレクトリに変更します。

2. WebGateのプロビジョニング、認証スキームおよびポリシー・ドメインの作成: 使用環境に適した値を使用して次のコマンドを実行します。例:

(echo ldappwdjava -jar oamcfgtool.jar
mode=CREATE app_domain=OAMPolicy_for_WAS-IAP
uris_file=/path-to-template-config-file
web_domain=host-id-name
ldap_host=wxyz
ldap_port=6633
ldap_userdn=orcladmin
ldap_base=ldap-base-dn
oam_aaa_host=abcd
oam_aaa_port=7789
oam_aaa_mode=open
log_file=OAMCfg_date.log
log_level=INFO
output_ldif_file=<LDIF_filename>
-noprompt

3. このツールで指定した情報を確認します。たとえば、手順3のパラメータと値を使用すると、次の情報が表示されます。

Processed input parameters
Initialized Global Configuration
Successfully completed the Create operation.
Operation Summary:
Policy Domain  : OAMPolicy_for_WAS-IAP
Host Identifier: OAMPolicy_for_WAS-IAP
Access Gate ID : OAMPolicy_for_WAS-IAP_AG

4. 考えられるホスト・バリエーションが含まれるように、ホスト識別子を更新します。

5. 次の認可アクションを「ヘッダー・ベースのアサーション」ポリシーに追加します。
タイプ名 戻り属性

HeaderVar OAM_REMOTE_USER uid

6. 「IHS Web Serverに対する必須WebGateのインストール」に進みます。

6.5 IAPおよびIBM WebSphereに対するOAM 11gのプロビジョニングおよび構成

この項の内容は次のとおりです。

- OAM 11gでのWebGateおよびアクセス・ゲートのプロビジョニングについて

- IBM WebSphereに対するエージェントのプロビジョニングとOAM 11gポリシーの作成

6.5.1 OAM 11gでのWebGateおよびアクセス・ゲートのプロビジョニングについて

この項では、ポリシー施行エージェントとして知られるOAM 11gアクセス・クライアントと、エージェントとOracle Access Manager 11gのSSO間での信頼メカニズムの設定に必要なプロセスについて概要を説明します。このプロセスはプロビジョニングと呼ばれます(エージェントの登録ともいいます)。

登録されたポリシー強制エージェントのみがOAMサーバーと通信でき、保護されたリソースにユーザーがアクセスを試みるときに情報を処理します。有効なOAM管理者の資格証明を持つユーザーは、管理コンソールを使用してOAMエージェントを登録できます。

WebGateエージェントは、インストールする前に登録できます。必須のWebGate構成ファイルまたはアクセス・ゲート構成ファイルは登録時に作成され、次のパスに格納されます。

DOAMIN_NAME/output/$Agent_NAME

登録時には、アプリケーション・ドメインとデフォルトのポリシーを作成することもできます。このため、エージェントの登録は、「パートナ・アプリケーションの登録」とも呼ばれています。

登録時に、エージェントは自身が保護するアプリケーションと同じWebサーバー上にあると想定されます。ただし、エージェントをプロキシWebサーバー、アプリケーションを異なるホストに配置できます。

エージェント登録時:

- エージェントごとに1つのキーが生成され、クライアント・ホスト上のローカル・ウォレット・ファイルを介してWebGateから、サーバー側ではJavaキー・ストアを介してOAMサーバーからそれぞれアクセス可能になります。
エージェント固有のキーは、クライアント・マシン上の保護されたローカル・ストレージを介してWebGatesからアクセス可能である必要があります。

- キーは、登録時にパートナ(アプリケーション)に対して生成されます。(ただし、10g (10.1.4.3) WebGateエージェントを除きます)。

- OAMアプリケーション・ドメインが作成されて、エージェントにちなんだ名称が付けられ、デフォルトの認証および認可ポリシーが移入されます。新しいアプリケーション・ドメインは、登録中にエージェントに対して指定されたものと同じホスト識別子を使用します。

登録の後、エージェントの詳細がOAM管理コンソールに表示され、クラスタ内のすべての管理対象サーバーに伝播されます。エージェント登録時にポリシーを自動作成するよう選択した場合、パートナ・アプリケーションに登録されたアプリケーション・ドメインとポリシーを表示、管理することもできます。

表6-3では、「OAMエージェントの作成」ページでリクエストされた情報を入力する場所である名前付きテキスト・フィールドを個別に説明しています。

表6-3 OAM 10g (10.1.4.3)および11gエージェントの「OAMエージェントの作成」ページ

OAMエージェントの要素

説明

エージェント名

このWebGateエージェントを識別する名称。ほとんどの場合、WebGateに使用されるWebサーバーをホストするコンピュータ名です。

注: エージェント名が存在する場合、エラーが発生して登録が失敗します。ホスト識別子が存在する場合、一意のエージェント・ベースURLが既存のホスト識別子に追加され、登録が先に進みます。

エージェント・ベースURL

オプション

エージェントのWebサーバーがインストールされるコンピュータのホストとポート。たとえば、http://my_ohs_host:portまたはhttps://my_host:portとなります。ポート番号はオプションです。

注: 特定のエージェント・ベースURLは、一度だけ登録できます。エージェント・ベースURLからWebGateがインストールされているWebサーバー・ドメイン(<hostidentifier>要素で指定)へのマッピングは、1対1です。ただし、1つのドメインが複数のエージェント・ベースURLを持つことができます。

アクセス・クライアント・パスワード

このWebGateのオプションかつ一意のパスワードで、WebGateの登録時に割り当てられています。

登録されたWebGateがOAM 11gサーバーに接続するときは、認可されていないWebGatesがOAM 11gサーバーに接続してポリシー情報を取得しないように、認証にこのパスワードが使用されます。

セキュリティ

エージェントとOAMサーバー間の通信トランスポート・セキュリティのレベル(これはOAMサーバーに指定したレベルと一致する必要があります)。

- オープン--トランスポート・セキュリティは適用されません。

- 簡易--動的に生成されたセッション・キーを使用したSSL v3/TLS v1.0のセキュアなトランスポート

- 証明書: サーバー側のx.509証明書を使用したSSL v3/TLS v1.0のセキュアなトランスポート。このオプションを選択すると、この表の別の箇所で説明するエージェント・キー・パスワードを入力できるフィールドが表示されます。

ホスト識別子

この識別子は、Webサーバー・ホストを表します。

ポリシーの自動作成

エージェントの登録中、自動的に作成された認証および認可ポリシーを使用できます。デフォルトで、このオプションが選択(有効化)されます。

デフォルト: 有効

注意: ドメインおよびポリシーをすでに登録している場合、新しいリソースを追加できます。このオプションを解除(チェックなし)すると、アプリケーション・ドメインやポリシーは自動的に生成されません。

保護されているリソース(URI)リスト

保護されているアプリケーションのURI: /myapp/loginなど。保護されているアプリケーションの各URIは、保護されているリソース・リストの表の新しい行で指定する必要があります。

次のリソースは、デフォルトでは保護されています。

/**

デフォルトは、複数のディレクトリにまたがるゼロまたは複数の中間レベル内にある任意の文字シーケンスに一致します。

保護対象のすべてのIBM WebSphereリソースをこのリストに追加します。

パブリック・リソース(URI)リスト

それぞれのパブリック・アプリケーションは、パブリック・リソース・リストの表の新しい行で指定する必要があります。

フィールドを追加して、パブリック・アプリケーションとリソースのURI値を入力してください。それぞれのURIは、パブリック・リソース・リストの表の新しい行で指定する必要があります。

保護する必要のないすべてのIBM WebSphereリソースをこのリストに追加します。

注意: /Authen/SSOTokenは、Oracle Access Manager IDアサーション・プロバイダにより使用される追加のパブリック・リソースです。

関連資料:

詳細は、『Oracle Fusion Middleware Oracle Access Manager with Oracle Security Token Service管理者ガイド』を参照してください。

6.5.2 IBM WebSphereに対するエージェントのプロビジョニングとOAM 11gポリシーの作成

この項では、OAM 11gに対するエージェントのプロビジョニングとポリシーの作成方法について説明します。

少なくとも1つのOAMサーバー・インスタンスがエージェントと同じモードで実行中である必要があります。そうでなければ、エージェント登録が失敗します。プロビジョニング後に、必要に応じてOAMサーバーの通信モードを変更できます。エージェントとサーバー間の通信は、WebGateモードが少なくともOAMサーバーのモードと同じ(またはそれ以上)であれば動作を続行します。

OAM 11g IAP for IBM WebSphereに対してエージェントを登録し、ポリシーを作成するには:

1. 通常どおりにOAM 11g管理コンソールにログインします。例: http://host:port/oamconsole.

2. 「ようこそ」ページで、「エージェント構成」パネルから「OAM 10g (10.1.4.3)エージェントの追加」をクリックして新しいページを開きます。
または、「システム構成」タブから、「エージェント」ノード、「OAMエージェント」ノード、さらに「10g (10.1.4.3) Webゲート」ノードを展開してから、ツール・バーの「コマンド作成」ボタンをクリックします。

3. 「OAMエージェントの作成」ページで、表6-3に示すように、必要な詳細(*の付いたもの)を入力して、このOAMエージェントを登録します。

4. 保護されているリソース・リスト: この表では、表6-3にあるように、このOAMエージェントで保護する個々のリソースのURLを入力します。

5. パブリック・リソース・リスト: この表では、 表6-3に示すように、パブリックにする(保護されない)個々のリソースURLを、Oracle Access Manager IDアサーション・プロバイダで使用する/Authen/SSOTokenも含めて入力します。

6. 「ポリシーの自動作成」ボックスが選択されていることを確認します(または、ボックスの選択を解除してこの機能を無効にします)。

7. 「適用」をクリックして、登録を送信します(または変更を適用しないでページを閉じます)。

8. 「確認」ウィンドウで、生成されたアーティファクトの場所を確認し、ウィンドウを閉じます。

9. この手順にある各ステップを繰り返して、WebGateで使用する追加のアクセス・ゲートとポリシーを登録し、次の処理を行います。

- この登録の名前を入力します。

- 適切なセキュリティ・モードを選択します。

- ベースURLを指定しないでください。

- 「ポリシーの自動作成」にチェックマークを付けます。

- 「適用」をクリックします。

10. 「IHS Web Serverに対する必須WebGateのインストール」に進みます。

6.6 IHS Web Serverに対する必須WebGateのインストール

プロビジョニング後に、OAM 10g (10.1.4.3) WebGate for IHSをインストールして、ここで説明するようにOAM 10g (10.1.4.3)またはOAM 11gのデプロイメントのいずれかで操作できます。使用環境に適用されない手順は無視してください。

10g (10.1.4.3) WebGate for IHSをダウンロードおよびインストールするには:

1. 次のように、WebGateインストーラを検索してダウンロードします。

1. 次の場所にあるOracle Fusion Middleware 11gR1ソフトウェア・ダウンロードに移動します。

http://www.oracle.com/technology/software/products/middleware/htdocs/fmw_11_download.html

2. ページの一番上の「ライセンス契約に同意」をクリックします。

3. Access Manager WebGates (10.1.4.3.0)の行から、該当するプラットフォームのダウンロード・リンクをクリックし、画面の指示に従います。

4. インストールする10g (10.1.4.3)アクセス・システムの言語パックと同じディレクトリに、WebGateインストーラを格納します。

2. 使用しているプラットフォーム、インストール・モード、Webサーバーに対してWebGateインストーラを起動し、次の処理を行います。

1. 次へをクリックして、ようこそ画面を閉じます。

2. 尋ねられたら、管理者の権限を使用して回答します。

3. WebGateのインストール・ディレクトリを指定します。例:
/OracleAccessManager/WebComponent/

4. LinuxまたはSolaris: このコンピュータ上のGCCランタイム・ライブラリの場所を指定します。

5. 言語パック—「デフォルトのロケール」とインストールするその他のロケールを選択して、「次へ」をクリックします。

6. プレゼンテーション・ワークシートにインストール・ディレクトリをまだ記録していない場合は記録し、「次へ」をクリックして続行します。
WebGateのインストールが開始し、数秒間かかることがあります。Windowsシステムでは、Microsoft管理インタフェースの構成を知らせる画面が表示されます。

3. OAM 10g (10.1.4.3)のデプロイメント: Continue installation, as described in the 『10g (10.1.4.3) Oracle COREid Access and Identityインストレーション・ガイド』に説明するようにインストールを続行して、次の処理を行います。

1. 以前にOAMCfgToolを使用してWebGateをプロビジョニングした際に指定されたWebGateのインストール時と同じ値を指定します。

2. リクエストされた追加の値をすべて指定して、インストールを適切に終了します。

3. WebGateホスト: WebGate_install_dir\access\oblix\configにファイルをコピーします。

4. WebGateのWebサーバーを再起動します。

5. 「IHS Webサーバーの準備」に進みます。

4. OAM 11gのデプロイメント: WebGateインストーラを(終了しないで)取り消し、WebGate 10g (10.1.4.3)のプロビジョニングのアーティファクト(および、必要に応じて証明書ファイル)を収集します。例:

1. OAM AdminServerのホストで、更新されたOAMエージェントの構成ファイルObAccessClient.xml(およびすべての証明書アーティファクト)を検索し、コピーします。例:
DOMAIN_HOME/output/$Agent_Name/

ObAccessClient.xml
password.xml(必要に応じて)
aaa_key.pem (openSSLによって生成される秘密鍵)
aaa_cert.pem (PEMフォーマットの署名済証明書)

2. OAMエージェントのホストで、アーティファクトをWebgateディレクトリに追加します。例:
WebGate_install_dir/access/oblix/lib/ObAccessClient.xml
WebGate_install_dir/access/oblix/config

3. WebGateのWebサーバーを再起動します。

4. EditHTTPConfツールを実行して、WebGateに対するIHSサーバーの構成を更新します。

5. エージェントをホストしているOAMサーバーを再起動します。

6. 「IHS Webサーバーの準備」に進みます。

6.7 IHS Webサーバーの準備

10g (10.1.4.3) IHS2 WebGate (または、それ以降)を使用している場合、IHS httpd.confファイルにはWebサーバー・ルートに/oamssoディレクトリを追加するためのエントリが含まれています。ただし、以前のOracle Access Manager IHS2 WebGateを使用している場合は、次のエントリをhttpd.confファイルのWebGateブロックの下に追加する必要があります。

IHS Webサーバーを準備するには:

1. WebGateをホストしているコンピュータで、IHS httpd.confファイルを検索して、次のエントリが存在していることを確認します(存在しない場合は追加します)。

Alias /oamsso "<webage-install-dir>/access/oamsso"
<LocationMatch "/oamsso/*">
Satisfy All
</LocationMatch>

2. 「WebGateに対するログイン・フォームの作成」に進みます。

6.8 WebGateに対するログイン・フォームの作成

この項では、プロビジョニング後にインストールされた10g (10.1.4.3) IHS WebGateで使用する適切なOracle Access Managerのフォームの取得方法について説明します。WebGateのログイン・フォームは使用しません。

OAM 11gを使用している場合は、OAM 11gサーバーのインスタンスでログイン・フォームが提供されるため、この手順をスキップしてかまいません。

注意:

10g (10.1.4.3) WebGatesで提供されるフォームは、OAM 11gサーバーでは使用できません。

OAM 10g (10.1.4.3)のデプロイメントで、

- 10g (10.1.4.3) IHS2 WebGate (または、それ以降)を使用している場合は、WebGate_install_dir/access/oamsso/login.html.の中でlogin.htmlを検索します。

- 以前の10g (10.1.4.3) IHS2 WebGateを使用している場合は、次の手順の説明に従ってディレクトリを作成し、サンプルのlogin.htmlファイルを手動で作成する必要があります。

10g (10.1.4.3) IHS WebGateのlogin.htmlファイルをプレビューするには:

1. OAM 10g (10.1.4.3)に10g (10.1.4.3) IHS2 WebGate(または、それ以降)が統合されている場合は、WebGate_install_dir/access/oamsso/login.htmlにあるlogin.htmlをプレビューします。

2. OAM 10g (10.1.4.3)に10g (10.1.4.2.0)またはそれ以前のWebGate for IHS2が統合されている場合は、次の手順を実行します。

1. 次のパス、WebGate_install_dir/oamssoに/oamssoサブディレクトリを作成します。

2. 新しい/oamssoディレクトリを作成して、次の要素が含まれているlogin.htmlファイルをそのディレクトリに追加します。

<!--Sample login Page Code -->
<form name="loginForm" method="post" action="/access/sso">
<b> Username: </b> <input name="userid" type="text" maxLength="80" size="20" value="">
<b> Password: </b> <input type="password" maxLength="255" size="20"
name="password" autocomplete="off">
<input type="submit" value="Login" name="submit">
</form>

3. 「OAM SSOおよびIAPに対するIBM WebSphereの構成」に進みます。

6.9 OAM SSOおよびIAPに対するIBM WebSphereの構成

この項の内容は次のとおりです。

- IBM WebSphere内のOAMに対するスタンドアロンLDAPレジストリの構成

- IBM WebSphereでの仮想ホストの追加と構成

- IBM WebSphereコンソールでのIHSリバース・プロキシの構成

- IBM WebSphereコンソールでのインターセプタ・エントリの作成

- OAM TAI構成ファイルの構成

6.9.1 IBM WebSphere内のOAMに対するスタンドアロンLDAPレジストリの構成

この項では、IBM WebSphere内でのOAMのスタンドアロンLDAPレジストリの構成方法について説明します。

IBM WebSphereでOAMのスタンドアロンLDAPレジストリを構成するには:

1. IBM WebSphereコンソールにログインします。例:

http://host:port/ibm/console

2. 「Security」→「Global Security」に移動します。

3. 「Available realm definitions」にある「User account repository」の下で、「Standalone Ldap Registry」を選択して「Configure」をクリックします。

4. 「General Properties」の下で、各フィールドに入力し、OAMで使用されるLDAPディレクトリを構成します。
プライマリ管理ユーザー名<OAM管理ユーザー名>
サーバー・ユーザーID: デフォルトの選択を保持
LDAPサーバーのタイプ: < OAMに対するLDAPディレクトリのタイプ>
ホスト < LDAPディレクトリが常駐するホスト名>
ポート : <LDAPディレクトリのバインド・ポート>
ベースDN: <LDAPベースDN>
バインドDN: <LDAPバインドDN>
パスワード: <LDAPパスワード>
検索タイムアウト: デフォルト値(120秒)を保持
デフォルトの再使用接続を保持し、認可のケースを無視(チェック済)

5. 「Apply」および「OK」をクリックして、この構成を保存します。

6. 同じページで、「Additional Properties」の下の「Advanced Lightweight Directory Access Protocol (LDAP)」のユーザー・レジストリ設定をクリックし、「General Properties」の各フィールドに入力します。
ユーザー・フィルタ: (&(uid=%v)(objectclass=inetOrgPerson))
グループ・フィルタ: (&(cn=%v)(objectclass=ldapsubentry))
ユーザーIDマップ: uid
グループIDマップ: cn
グループ・メンバーIDマップ: nsRole:nsRole

7. 「Apply」および「OK」をクリックして、この構成を保存します。

8. 同じページで、「Related Items」の下の「Trusted authentication realms - inbound」をクリックして、LDAPエントリ(host:port)が信頼できることを確認します。

9. 「Test Connection」をクリックして、接続構成を検証します。

10. IBM WebSphereを再起動します。
スタンドアロンLDAPレジストリが「Current realm」として選択されていない場合は、「Available realm」定義の「User account repository」の下で「Set As Current」をクリックします。

11. 今後は、OAM LDAPディレクトリ・ログイン資格証明(IBM WebSphereで登録済)を使用して、IBM WebSphereコンソールにログインします。

6.9.2 IBM WebSphereでの仮想ホストの追加と構成

Webアプリケーションを仮想ホスト(特定のホスト名に対してWebアプリケーションを構成するための論理名)にバインドする必要があります。リソースをリクエストすると、IBM WebSphereはリクエストを定義済仮想ホストの別名にマップします。

IBM WebSphereで仮想ホストを追加および構成するには:

1. IBM WebSphereコンソールにログインします。例: http://host:port/ibm/console

2. 「Environment」→「Virtual Hosts」と移動して「New」をクリックします。

3. 使用環境に対して、「General Properties」に次のように入力します。

1. 名前: IHSホスト名を追加して「OK」をクリックし、変更を保存します。

2. 最近作成されたエントリ「IHS host name」をクリックします。

4. 「Additional Properties」の下の「Host Aliases」をクリックして、「New」をクリックします。

5. 使用環境の「General Properties」に対して、次のように詳細を入力します。

1. Host: IHSサーバーが常駐しているホスト名

2. Port: IHSポート

6. 「OK」をクリックして変更を保存し、次の手順を続行して、デプロイされたエンタープライズ・アプリケーションに仮想ホストを構成します。

7. 「Applications」→「WebSphere Enterprise Applications」の順に移動して、次の手順を行います。

1. <;enterprise application>をクリックします。

2. 「Web Module Properties」の下で「Virtual Hosts」をクリックします。

3. すべてのWebモジュールを選択して、追加した仮想ホストを適用します。

4. 「OK」をクリックして変更を保存します。

8. エンタープライズ・アプリケーションがデプロイされているIBM WebSphereを再起動します。

9. 「IBM WebSphereコンソールでのIHSリバース・プロキシの構成」に進みます。

6.9.3 IBM WebSphereコンソールでのIHSリバース・プロキシの構成

この項では、IHSサーバーをIBM WebSphereコンソール内にリバース・プロキシ・モードで構成する方法について説明します。

IHSをIBM WebSphereコンソール内にリバース・プロキシ・モードで構成するには:

1. IBM WebSphereコンソールにログインします。例:

http://host:port/ibm/console

2. 「Server Types」→「Web Servers」の順に移動します。

3. 「New」をクリックして、IHS Webサーバーの詳細を指定します。

4. 変更を保存して、IHSのサーバー・エントリを確認します。

5. 「ServerName」を選択して、「Generate Plug-in」をクリックします。

6. 「ServerName」を選択して、「Propagate Plug-in」をクリックします。

7. 次の手順に従って、IBM WebSphereのリバース・プロキシとして動作するようにIHS Webサーバーを構成します。

1. IHS_install_dir/Plugins/config/ServerNameの中でplugin-cfg.xmlを検索します。

2. 次のエントリを削除します。

<Uri AffinityCookie="JSESSIONID" AffinityURLIdentifier="jsessionid"
Name="/*"/>

8. IHS Webサーバーを再起動します。

9. 「IBM WebSphereコンソールでのインターセプタ・エントリの作成」に進みます。

6.9.4 IBM WebSphereコンソールでのインターセプタ・エントリの作成

Oracle Access Manager 10g (10.1.4.3)またはOracle Access Manager 11gのいずれを使用しているかにかかわらず、タスクは同じです。

実行時に、IBM WebSphereの拡張機能クラス・ローダーによってクラスがロードされます。拡張クラス・ローダーのクラス・パスはws.ext.dirsシステム・プロパティによって指定されます。したがって、IBM WebSphere OAMTrustAssociationInterceptor.jarファイルのIAPをIBM WebSphereクラスパスに追加する必要があります。

IBM WebSphere OAMTrustAssociationInterceptor.jarファイルのIAPは、次のパスから使用できます。

MW_HOME/oracle_common/modules/oracle.oamprovider_11.1.1/
OAMTrustAssociationInterceptor.jar

OAMTrustAssociationInterceptor.jarをIBM WebSphereクラスパスに追加するには:

1. IBM WebSphereコンソールで、「Servers」→「Server Types」→「WebSphere Application」→「Servers」の順に移動して、適切なサーバーを選択します。

2. 「Server Infrastructure」セクションの下の「Java And Process Management」をクリックし、「Process Definition」をクリックします。

3. 「Additional properties」で、「Java Virtual Machine」→「Custom Properties」を選択します。

4. プロパティws.ext.dirsに、OAMTrustAssociationInterceptor.jarの値を追加します。例:

MW_HOME/oracle_common/modules/oracle.oamprovider_11.1.1/ OAMTrustAssociationInterceptor.jar

5. 2つの値がコロンで区切られていることを確認します。

6. 次の手順に従って、OAM IAPのインターセプタ・エントリを作成します。

1. IBM WebSphereコンソールで、「Security」→「Global Security」と移動し、「Enable Application Security」が選択されていることを確認します。

2. 「Authentication」セクションの下で「Web and SIP Security」タブをクリックし「Trust association」リンクをクリックします。

1. 「General Properties」の下で、「Enable Trust Association」をクリックします。

2. 「Additional Properties」の下で「Interceptors」リンクをクリックします。

3. 「General Properties」の下で「Under New」をクリックして、Interceptorのクラス名を次のように指定します。

oracle.security.was.providers.tai.OAMTrustAssociationInterceptorImpl

7. 「OAM TAI構成ファイルの構成」に進み、oamtai.xmlをInterceptorクラス・パスのカスタム・プロパティとして構成します。

6.9.5 OAM TAI構成ファイルの構成

oamtai.xml構成ファイルは、OAMトラスト・アソシエーション・インターセプタにより使用されます。このファイルを構成して、使用環境に合うように変更する必要があります。詳細は、次を参照してください。

- OAM TAI構成ファイルの構成について

- OAM TAI構成ファイルの構成

6.9.5.1 OAM TAI構成ファイルの構成について

oamtai.xml構成ファイルは次のパスにあります。

MW_HOME/oracle_common/modules/oracle.oamprovider_11.1.1/domain_config_was
/oamtai.xml

このファイルに格納されている詳細は、実行時にTAIが10g (10.1.4.3) OAMアクセス・サーバー(または11g OAMサーバー)との接続を確立するために使用します。

oamtai.xmlファイルの構成方法は、次のように2つあります。

- oamtai.xmlをwas_profile_dir/config/cells/cell_name/fmwconfig/oamtai.xmlにコピーします。

- または、次の手順のステップ1を実行して、oamtai.xmlを、前に追加したInterceptorエントリのカスタム・プロパティとして構成します。

表6-4のパラメータと使用しているデプロイメントの値を使用してアクセス・サーバーとの接続を確立するために、oamtai.xmlファイルを変更する必要があります。ヘッダー・ベースのアサーションを有効にするには、oamtai.xmlのヘッダー・ベースのアサーションのセクションがコメント化されていないことを確認し、oamtai.xmlとOAMポリシーの両方で同じcustomHeadernameを使用します。

表6-4 oamtai.xml構成ファイルのパラメータ

パラメータ

必須/オプション

説明

hostPort

必須

リソースのホストであるIHS Webサーバーのホスト名およびポート。

注意: host:portは、OAMに存在するホスト名のバリエーションの1つである必要があります。

resource

必須

保護されているリソースのURL。

デフォルト = /Authen/SSOToken、または、更新した場合はOAMポリシーの値。

ip

オプション

リソースにアクセスする必要のあるクライアント・コンピュータのIPアドレス。

operation

必須

Authen/SSOTokenにアクセスするためにリクエストされた操作。

accessGateName

必須

OAMとの相互作用中に使用されるアクセス・ゲートを識別する、空白なしの一意の名前。OAMCfgToolツールでは、この名前はapp_domain値から導出され、末尾に_AGが付けられます。

AccessGatePassword

必須

OAMとの相互作用時にアクセス・ゲートを検証および識別する一意のパスワード。これによって、認可されていないアクセス・ゲートが接続してポリシー情報を取得するのを防ぎます。OAMCfgToolでは、app_agent_passwordパラメータを使用して指定されます。このパスワードは、Webゲート/アクセス・ゲート・インスタンスごとに異なっている必要があります。

accessServerHost

必須

OAMアクセス・サーバー(またはOAM 11gサーバー)のホスト名。

accessServerPort

必須

OAMアクセス・サーバー(またはOAM 11gサーバー)のポート番号。

accessServerName

オプション

プロファイル(またはOAM 11gサーバー登録)で識別されたOAMアクセス・サーバーの名前。

transportSecurity

必須

10g (10.1.4.3)アクセス・サーバーと関連するWebGate間のトランスポート・セキュリティのレベルが一致している必要があります。デフォルト値はOpenです。OAMCfgToolのoam_aaa_mode値を使用して、別の値を指定できます。

次の各パラメータ、trustStore、keyStore、keyStorePass、およびglobalPassの値は、トランスポート・セキュリティ・モードが'Simple'または'Cert'の場合は必須です。

- trustStore: トラスト・ストアの絶対パスを指定します。

- keyStore: キー・ストアの絶対パスを指定します。

- keyStorePass: キーストア・パスワードを指定します。

- globalPass: IHS WebGateのインストールおよび構成時に定義されたグローバル・パスフレーズの値を指定します。

debug

必須

OAMデバッグをオンまたはオフにします。

デフォルト: false

minConn

必須

このアクセス・ゲートがアクセス・サーバーと確立できる最小接続数。この数値は、WebGateに実際に関連付けられているアクセス・サーバー数以下である必要があります。

maxConn

必須

このアクセス・ゲートがアクセス・サーバーと確立できる最大接続数。この数値は、WebGateに実際に関連付けられているアクセス・サーバー数以上である必要があります。

timeOutForConnPool

必須

接続プールのタイムアウト期間。値はすべてミリ秒で指定します。

デフォルト: 30000(ミリ秒)

Anonymous

必須

匿名ユーザーの値を構成します。

注意: 次の2つのパラメータ、assertionTypeおよびcustomHeaderNameはヘッダー・ベースのアサーションには必須です。ヘッダー・ベースのアサーションの場合にかぎり、これを非コメント化します。

- ユーザーがここでヘッダー名を構成する場合は、同じ名前を使用してOAMポリシーの戻り属性として構成されます。アサーション・タイプのパラメータの値は変更せず、パラメータのエントリのみを非コメント化します。

- ユーザーがここでヘッダー名を構成しない場合、デフォルトのヘッダー名は「OAM_REMOTE_USER」となり、OAMポリシーに同じ名前が構成されます。この場合も、アサーション・タイプのパラメータの値は変更せず、パラメータのエントリのみを非コメント化します。

assertionType

必須

この値は「HeaderBasedAssertion」とします。これは変更しないでください。

customHeaderName

必須

使用されるデフォルト値は「OAM_REMOTE_USER」です。または、デフォルト値が更新された場合は、OAMポリシーに準拠します。

注意: ヘッダーの構成時にOAMポリシーで同じ値が使用されるかぎり、任意の値を指定できます。そうでない場合は、ポリシーの構成時にデフォルト値「OAM_REMOTE_USER」を使用する必要があります。いずれの場合でも、oamtai.xmlファイルの「assertionType」パラメータのエントリが非コメント化されていることを確認してください。

注意:

WebGateのタイムアウトは、LTPAのタイムアウトよりも大きい値で設定する必要があります。そうしないと、IAPがトリガーされてWebGateセッションがタイムアウトする可能性があります。その場合は、以前に生成されたLTPAトークンがまだ存在しているため、別のユーザーIDを使用してログインしたユーザーはリソースにアクセスできることがあります。LTPAのタイムアウトのデフォルト値は120分であるため、WebGateプロファイルには120分よりも大きいWebGateタイムアウト値が必要になります。

6.9.5.2 OAM TAI構成ファイルの構成

使用環境に合わせてoamtai.xmlを構成する手順は、次のとおりです。

oamtaiが次のパス、was_profile_dir/config/cells/cell_name/fmwconfig/oamtai.xmlにコピーされている場合は、ステップ1をスキップしてください。

oamtai.xmlをインターセプタのカスタム・プロパティとして構成するには:

1. カスタム・インターセプタ・プロパティ:

1. IBM WebSphereコンソールで、「Security」→「Global Security」と移動します。

2. 「Authentication」セクションの下で「Web and SIP Security」タブをクリックし、「Trust association」リンクをクリックします。

3. 「Trust association」リンクをクリックします。

4. 「Additional Properties」の下で「Interceptors」リンクをクリックします。

5. インターセプタ・クラス名「oracle.security.was.providers.tai.OAMTrustAssociationInterceptorImpl」を選択します。

6. 「Custom Properties」の下に、oamtai.xmlファイル用にoamtai.xml詳細の絶対パスを示すプロパティを追加します。
名前: OAMTaiProperty

値: was_profile_dir/config/cells/cell_name/fmwconfig/oamtai.xml

2. oamtai.xmlの変更: 表6-4のデプロイメントに適した値を持つパラメータを使用して、アクセス・サーバーとの接続を確立します。

3. ヘッダー・ベースのアサーション: oamtai.xmlファイルで、次の手順を実行します。

1. エントリ「assertionType」を非コメント化し、値「HeaderBasedAssertion」を保持します。

2. エントリ「customHeaderName」を非コメント化し、目的の値を設定します(表6-4)。

4. ファイルを保存します。

5. OAMポリシー: OAMポリシーの構成時と同じ値「customHeaderName」を使用します。

6. IBM WebSphereを再起動して、変更を有効にします。

6.10 OAM IAP for IBM WebSphereに対するSSOログアウトの構成

この項では、OAM IAP for IBM WebSphereでのログアウトについて説明します。

- 汎用(または非ADF)アプリケーションに対するログアウトの構成

- ADFコード・アプリケーションに対するログアウトの構成

6.10.1 汎用(または非ADF)アプリケーションに対するログアウトの構成

非ADFアプリケーションでは、アプリケーションのログアウト・リンクでターゲットとして構成されたlogout.htmlがアプリケーションによって起動されると、ログアウトが開始されます。

logout.htmlファイルはWebサーバーのdocルートに置くことも、IBM WebSphereアプリケーションに含めることもできます。

独自のlogout.htmlを使用している場合は、ページ本体のロード時に、例6-3のJavaScriptを埋め込んで「delOblixCookie」を起動できます。LTPATokenはJavaScriptによって削除され、ObSSOCookieはWebGateによって削除されます。

<body onload="delOblixCookie();">

注意:

セキュリティを考慮してユーザーがCookie「httponly」プロパティを「true」に設定した場合、javascriptはLTPATokenのCookieを削除できず、SSOログアウトは機能しません。

例6-3 delOblixCookieを起動するJavaScript

function delCookie(name,path,domain) {
var today = new Date();
var deleteDate = new Date(today.getTime() - 48 * 60 * 60 * 1000); // minus 2
days
var cookie = name + "="
+ ((path == null) ? "" : "; path=" + path)
+ ((domain == null) ? "" : "; domain=" + domain)
+ "; expires=" + deleteDate;
document.cookie = cookie;
}
function delOblixCookie() {
// set focus to ok button
var isNetscape = (document.layers);
if (isNetscape == false || navigator.appVersion.charAt(0) >= 5) {
for (var i=0; i<document.links.length; i++) {
if (document.links[i].href == "javascript:top.close()") {
document.links[i].focus();
break;
}
}
}
delCookie('ObTEMC', '/');
delCookie('ObSSOCookie', '/');
delCookie('LtpaToken', '/');
delCookie('LtpaToken2', '/');
// in case cookieDomain is configured
// delete same cookie to all of subdomain
var subdomain;
var domain = new String(document.domain);
var index = domain.indexOf(".");
while (index > 0) {
subdomain = domain.substring(index, domain.length);
if (subdomain.indexOf(".", 1) > 0) {
delCookie('ObTEMC', '/', subdomain);
delCookie('ObSSOCookie', '/', subdomain);
delCookie('LtpaToken', '/', subdomain);
delCookie('LtpaToken2', '/', subdomain);
}
domain = subdomain;
index = domain.indexOf(".", 1);
}
}

汎用(または非ADF)アプリケーションに対してログアウトを構成するには:

1. 目的のlogout.htmlファイルを検索します。

2. 例6-3のJavaScriptをlogout.htmlに追加して、ページ本体のロード時に「delOblixCookie」を起動します。

3. Oracle Access Managerポリシーで、『Oracle Fusion Middleware Oracle Access Manager with Oracle Security Token Service管理者ガイド』の説明に従って、匿名認証スキームを使用してlogout.htmlを保護します。

6.10.2 ADFコード・アプリケーションに対するログアウトの構成

Oracle WebCenterポータル・アプリケーションなどのADFコードのFusion Middlewareアプリケーションでは、シングル・サインオンはOPSSを通して実行されます。詳細は、次の項を参照してください。

- ログアウト用のWebGateの構成

- Oracle Access ManagerでのSSOログアウト用のOPSSの構成

- IBM WebSphereクラスパスでのoamAuthenProvider.jarの構成

- SSOログアウトの検証

6.10.2.1 ログアウト用のWebGateの構成

この項では、例(例6-4)と、10g WebGateを統合したOAM 10gによって保護されているアプリケーションのログアウトに使用し、カスタマイズできる手順を示します。

注意:

例6-4は1つの単語のエンドURIのみに適用されます。長いURIの場合は、解析ロジックを適宜更新する必要があります。

ログアウトに対してWebGateを構成するには:

1. 例6-4に基づいて、WebGate用にlogout.htmlを作成および編集します。ログアウトURLに指定されたエンドURLにログアウト・リクエストをリダイレクトするために、handleLogout()関数を追加してコールします。

表6-4 サンプルのlogout.htmlスクリプト

<html>
<head>
<script language="javascript" type="text/javascript">

function handleLogout() {

//get protocol used at the server (http/https)
var webServerProtocol = window.location.protocol;
//get server host:port
var webServerHostPort = window.location.host;
//get query string present in this URL
var origQueryString = window.location.search.substring(1);

//vars to parse the querystring
var params = new Array();
var par = new Array();
var val;

if (origQueryString != null && origQueryString != "") {

params = origQueryString.split("&");

//search for end_url and redirect the user to this
for (var i=0; i<params.length; i++) {

par = params[i].split("=");
if ("end_url" == par[0]) {
endUrlVal = par[1];

//check if val (value of end_url) begins with "/" or "%2F" (is it an URI?)
if (endUrlVal.substring(0,1) == "/" || endUrlVal.substring(0,1) == "%") {
if (endUrlVal.substring(0,1) == "%")
endUrlVal = "/" + endUrlVal.substring(3);

//modify the end_url value now
endUrlVal = webServerProtocol + "//" + webServerHostPort + endUrlVal;
}
//redirect the user to this URL
window.location.href = endUrlVal;
}
}
}
}
</script>
</head>
<body onLoad="handleLogout();">
<h3>You have been logged out<h3>

</body>
</html>

2. logout.htmlスクリプトをWebGate_install_dir/oamsso/logout.htmlに格納します。

3. httpd.confファイル内で、次のエントリがWebGateブロックの下にあることを確認します。

Alias /oamsso "<webage-install-dir>/access/oamsso
<LocationMatch "/oamsso/*">
Satisfy All
</LocationMatch>

4. 「Oracle Access ManagerでのSSOログアウト用のOPSSの構成」に進みます。

6.10.2.2 Oracle Access ManagerでのSSOログアウト用のOPSSの構成

ログアウト用のアプリケーション構成は、ADFコード・アプリケーションがOPSSと統合されているか統合されていないかに応じて異なります。この項では、OPSSに統合されているADFコード・アプリケーションについて説明します。

次の手順は10g WebGatesのログアウト構成と類似していますが、ログアウト処理後にユーザーのリダイレクト先を特定するためにend_url値を送信する必要があるという、ADFコード・アプリケーションに固有の手順が1つ含まれています。ただしADFコード・アプリケーションでは、アプリケーションが以下のURIを呼び出した時にログアウトが行なわれます。

/<app context root>/adfAuthentication?logout=true&end_url=<any uri>

OAMでのSSOログアウト用にOPSSを構成するには:

1. 次のパスで、jps-config .xmlファイルを検索して開きます。

was_profile_dir/config/cells/cell_name/fmwconfig/jps-config.xml

2. jps-config .xml内で、次の<propertySet name="props.auth.uri.0">要素と値を追加します。

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<jpsConfig xmlns="http://xmlns.oracle.com/oracleas/schema/11/jps-config-11_
1.xsd" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
xsi:schemaLocation="http://xmlns.oracle.com/oracleas/schema/11/jps-config-11_
1.xsd">
<property value="off" name="oracle.security.jps.jaas.mode"/>
<propertySets>
.
<propertySet name="props.auth.uri.0">
<property value="/oamsso/logout.html" name="logout.url"/>
<property value="${app.context}/adfAuthentication" name="login.url.BASIC"/>
<property value="${app.context}/adfAuthentication" name="login.url.ANONYMOUS"/>
<property value="${app.context}/adfAuthentication" name="login.url.FORM"/>
</propertySet>
<propertySet name="props.auth.level.0">
<property value="0" name="type-level:ANONYMOUS"/>
<property value="1" name="type-level:BASIC"/>
<property value="2" name="type-level:FORM"/>
.
</propertySets>

3. jps-config .xml内で、次の<serviceProviders>要素と値を追加します。

...
</propertySets>
<serviceProviders>
<serviceProvider class="oracle.security.jps.internal.sso.SsoService
Provider" name="sso.provider.0" type="SSO"/>
</serviceProviders>

4. jps-config .xml内で、次の<serviceInstances>要素と値を追加します。

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
...
</serviceProviders>
<serviceInstances>
.
.
<serviceInstance provider="sso.provider.0" name="sso.inst.0">
<property value="oracle.security.jps.wls.internal.sso.WlsToken
Provider" name="token.provider.class"/>
<property value="2" name="default.auth.level"/>
<property value="oracle.security.wls.oam.providers.sso.OAMSSO
ServiceProviderImpl" name="sso.provider.class"/>
<property value="OAMSSOToken" name="token.type"/>
<propertySetRef ref="props.auth.uri.0"/>
<propertySetRef ref="props.auth.level.0"/>
</serviceInstance>
.
.
</serviceInstances>

5. jpsContexts内で、強調表示された<serviceInstanceRef ref="sso.inst.0"/>要素と値を追加します。

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
...
</serviceInstances>
<jpsContexts default="default">
<jpsContext name="default">
<serviceInstanceRef ref="credstore"/>
<serviceInstanceRef ref="keystore"/>
<serviceInstanceRef ref="policystore.xml"/>
<serviceInstanceRef ref="audit"/>
<serviceInstanceRef ref="idstore.ldap"/>
<serviceInstanceRef ref="sso.inst.0"/>
</jpsContext>
</jpsContexts>
</jpsConfig>

6. Oracle Access Managerポリシーで、『Oracle Fusion Middleware Oracle Access Manager with Oracle Security Token Service管理者ガイド』の説明に従って、匿名認証スキームを使用して/oamsso/logout.htmlを保護します。

7. 「IBM WebSphereクラスパスでのoamAuthenProvider.jarの構成」に進みます。

6.10.2.3 IBM WebSphereクラスパスでのoamAuthenProvider.jarの構成

OPSSを介してログアウトを実行するには、oamAuthnProvider.jarをIBM WebSphereクラスパスに構成する必要があります。これは、「IBM WebSphereコンソールでのインターセプタ・エントリの作成」に説明するIBM WebSphereクラスパスでのinterceptor jarの追加に類似しています。

oamAuthnProvider.jarファイルは次のパスから使用できます。

MW_HOME/oracle_common/modules/oracle.oamprovider_11.1.1/
oamAuthnProvider.jar

oamAuthnProvider.jarをIBM WebSphereクラスパスに追加するには:

1. IBM WebSphereコンソールで、「Servers」→「Server Types」→「WebSphere Application」→「Servers」の順に移動して、適切なサーバーを選択します。

2. 「Server Infrastructure」セクションの下の「Java And Process Management」をクリックし、「Process Definition」をクリックします。

3. 「Additional properties」で、「Java Virtual Machine」→「Custom Properties」を選択します。

4. ws.ext.dirsプロパティで、OAMTrustAssociationInterceptor.jarのエントリの後にoamAuthnProvider.jarの値を追加して、2つの値がコロンで区切られていることを確認します。例:

ws.ext.dir   MW_HOME/oracle_common/modules/oracle.oamprovider_11.1.1/
OAMTrustAssociationInterceptor.jar:MW_HOME/oracle_common/modules/
oracle.oamprovider_11.1.1/oamAuthnProvider.jar

5. IBM WebSphereを再起動します。

6. 「SSOログアウトの検証」に進みます。

6.10.2.4 SSOログアウトの検証

SSOログアウトを検証するには:

1. ブラウザから、保護されたリソースのURLを入力します。例:

http://host:port/<app context root>/adfAuthentication

2. ログイン・ページが表示されることを確認し、適切な資格証明でサインインします。

3. 保護されたリソースが使用できることを確認します。

4. 新しいブラウザ・タブまたはウィンドウを開いて同じリソースにアクセスし、2回目のアクセス時に新たなログインが要求されないことを確認します。

5. 次のサンプルに示すようなURLを使用して、1つのタブからログアウトします。

http://host:port/<app context root>/adfAuthentication?logout=true&end_url=<any
uri>

6. もう一度そのリソースにアクセスして、ログイン・ページが表示されることを確認します。

6.11 既知の問題

問題:

IBM WebSphere対応のOracle Access Manager IDアサーション・プロバイダは、簡易セキュリティ・モードをサポートしていません。

問題: 一貫性がない

IBM WebSphere対応のOracle Access Manager IDアサーション・プロバイダでは、認証が成功し、有効なObSSOCookieが生成された後でLTPAトークンが生成されません。

Error
403: AuthenticationFailed

さらに、トレース・ログで次のエラーが生じます。

com.ibm.websphere.security.WebTrustAssociationFailedException: Can not assert
user identity as LoggedIn user value is null

解決方法

ブラウザを2、3回リフレッシュします。有効なLTPAトークンが生成されます。

サーバーがクライアントとの通信を簡易トランスポート・セキュリティ・モードで行うには、マスター秘密鍵が必要です。Sun JDKには、マスター秘密鍵を生成するAPIがあります。ただし、IBM WebSphereのIBM JDKにはマスター秘密鍵を生成するためのAPIがありません。

7 Oracle Access Manager IDアサーションとIBM WebSphereポータルの統合

ポータルは、統合およびパーソナライズされた企業情報を従業員、顧客、ビジネス・パートナに提示することにより、エンタープライズ・データに対する単一のアクセス・ポイントとして機能します。

この章では、IBM WebSphereポータルv7を統合したOracle Access Manager IDアサーションの使用方法について説明します。含まれる内容は、次のとおりです。

- IBM WebSphereポータルとOracle Access Managerの統合

- サポートされるバージョンおよびプラットフォーム

- IBM WebSphereポータルv7.0とOracle Access Managerの統合

- IBM WebSphere内のOAMに対するスタンドアロンLDAPレジストリの構成

関連資料:

『Oracle Fusion Middlewareサードパーティ・アプリケーション・サーバー・ガイド』の第6章「IBM WebSphereでのOracle Access Manager IDアサーションの管理」には、IBM WebSphereの設定に必要な詳細情報が記載されています。

7.1 IBM WebSphereポータルとOracle Access Managerの統合

IBM WebSphereポータル・サーバーはIBM WebSphere Application Server (WAS)の上で実行し、WASセキュリティ・インフラストラクチャを使用してアクセス制御を施行します。IBM WebSphereポータルを統合することにより、ポータルに関してOracle Access Managerの次の機能が使用可能になります。

- ユーザーおよびグループ管理

- パスワード管理

- ポータルへのシングル・サインオン(SSO)

- Oracle Access Manager、WAS、およびIBM WebSphereポータル間でのログアウトの統合

7.2 バージョンおよびプラットフォームのサポート

Oracle Access ManagerとIBM WebSphere Application Serverに対してサポートされているプラットフォームおよびバージョンと同じものが、IBM WebSphereポータルでもサポートされています。

注意:

この章では、IBM WebSphereポータル・サーバーをIBM WebSphereポータルと略称しています。

IBM WebSphereポータルv7.0は、次の両方との統合が可能です。

- Oracle Access Manager 11g

- Oracle Access Manager 10g

最新のサポート情報については、次を参照してください。

http://www.oracle.com/technetwork/middleware/ias/downloads/fusion-certification-100350.html

7.3 IBM WebSphereポータルv7.0とOracle Access Managerの統合

IBM WebSphereポータルv7.0と統合しているOracle Access Manageのリリースにかかわらず、ここに概要説明するインストールおよび構成の手順を実行する必要があります。

IBM WebSphereポータルとOracle Access Managerの統合

1. 『Oracle Fusion Middlewareサード・パーティ・アプリケーション・サーバー・ガイド』の第9.2項「Oracle Access Manager IAP for IBM WebSphereのコンポーネントのインストール」で説明するように、IBM WebSphereアプリケーション・サーバーとポータル・サーバーをインストールします。

関連資料:

インストールの詳細は、IBM WebSphereポータル・インフォセンターのドキュメントを参照してください。

2. Webgateのプロビジョニング: 次の説明に従って、手順を実行します。

- Oracle Access Manager 11g: 第9.5項「IAPおよびIBM WebSphereに対するOAM 11gのプロビジョニングと構成」。

- Oracle Access Manager 10g: 第9.4項「WebGateのプロビジョニング、IBM WebSphereに対するOAM 10g (10.1.4.3)およびIAPの構成」。

3. Webgateのインストール: 第9.6項「IHS Webサーバーに対する必須WebGateのインストール」の説明に従って、WebGateをインストールします。

4. ログイン・フォームの準備: 第9.8項「WebGate用のログイン・フォームの準備」にある手順を使用します。

5. 第9.9項「OAM SSOおよびIAPに対するIBM WebSphereの構成」の説明に従って、OAM SSOおよびポータル・サーバーのドメイン・プロファイルに対してIBM WebSphereアプリケーション・サーバーを構成します。

6. この章の第7.4項「IBM WebSphere内のOAMに対するスタンドアロンLDAPレジストリの構成」の説明に従って、IBM WebSphereポータル・サーバー内にあるOAMに対してスタンドアロンLDAPレジストリを構成します。

7.4 IBM WebSphere内のOAMに対するスタンドアロンLDAPレジストリの構成

この項では、IBM WebSphere内のOracle Access Managerに対するスタンドアロンLDAPレジストリの構成方法について説明します。

IBM WebSphereポータル内のOAMに対してスタンドアロンLDAPレジストリを構成する手順は次のとおりです。

1. 次のパスでwp_security_<ldaptype>.propertiesファイルを検索します。

was_portal_profile_dir/ConfigEngine/config/helpers/wp_security_<ldaptype>.properties

ここでは、<ldaptype>はOracle Access Managerで使用する場合のディレクトリ・サーバー・タイプ(ベンダー)を示しています。たとえば、Sun Oneディレクトリ・サーバーの場合のファイル名はwp_security_sunone.propertiesです。

2. wp_security_<ldaptype>.propertiesを開いて編集します。

3. 次のエントリを、使用しているデプロイメントを反映した値で更新します。

standalone.ldap.id=<ldap server id>

standalone.ldap.host=host id name
standalone.ldap.port=host port
standalone.ldap.bindDN= <LDAP bind DN>
standalone.ldap.bindPassword= ldappwd
standalone.ldap.serverId=<full DN of ldap admin user>

standalone.ldap.serverPassword=admin user password
standalone.ldap.realm=<realm name>
standalone.ldap.primaryAdminId=<full DN of ldap admin user>
standalone.ldap.primaryAdminPassword= admin user password
standalone.ldap.primaryPortalAdminId= admin user password
standalone.ldap.primaryPortalAdminPassword=oblix

standalone.ldap.primaryPortalAdminGroup=<full DN of admin group>
standalone.ldap.baseDN= <LDAP base DN>

standalone.ldap.et.group.objectClasses=group object class
standalone.ldap.personAccountParent=<ldap base DN>
standalone.ldap.groupParent=<ldap base DN>

4. 次のコマンドを実行して、プロパティを検証します。

ConfigEngine.sh validate-standalone-ldap -DWasPassword=<admin user passwd>
-DparentProperties =<path to wp_security_<ldaptype>.properties>

5. 次のコマンドを実行して、ポータル・ファイル・ベースのリポジトリを定義済のLDAPタイプに変更します。

ConfigEngine.sh wp-modify-ldap-security -DWasPassword=<admin user passwd>
-DparentProperties =<path to wp_security_<ldaptype>.properties>

6. ステップ4および5の正常終了後ただちに、IBM WebSphereポータルおよびアプリケーション・サーバーを起動します。

8 IBM WebSphereでのOracle Adaptive Access Managerの管理

Oracle Adaptive Access Managerは、エンタープライズ向けにWebアクセスのリアルタイム不正検出およびオンライン多要素認証セキュリティを提供するOracle Identity Managementのソリューションです。

この章では、IBM WebSphereでのOracle Adaptive Access Managerの管理と統合について情報を提供し、同プラットフォームのいくつかの機能について詳しく説明します。この章では、特にIBM WebSphereに適用されるトピックのみを扱っています。Oracle WebLogic Serverに適用されるトピックはここでは説明しませんが、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』、および『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』に説明があります。

この章には次の項が含まれます:

- 第8.1項「IBM WebSphereでのOracle Adaptive Access Managerアプリケーションのインストールおよび構成」

- 第8.2項「IBM WebSphereでのOAAMのレポートおよび監査の設定」

- 第8.3項「テスト環境から本番環境へのOAAMの移動」

- 第8.4項「Juniper Networks Secure Access (SA)とOAAMの統合」

- 第8.5項「非同期実行のためのOAAMとJava Message Service Queueの統合」

- 第8.6項「OAAMサンプル・アプリケーションの設定」

8.1 IBM WebSphereでのOracle Adaptive Access Managerアプリケーションのインストールおよび構成

Oracle Adaptive Access Managerを構成する前に、依存性を含む必要なすべてのコンポーネントをインストールし、後続の構成タスクに備えて環境を構成しておく必要があります。

表8-1 インストール・タスク

手順

タスク

情報

1

次のソフトウェアを取得します。

- IBM WebSphere 7.0および、IBM WebSphereソフトウェアに必要なすべての修正パック

- Oracle Database

- Oracle Fusion Middlewareリポジトリ作成ユーティリティ11g リリース2 (11.1.2.0)

- Oracle Identity and Access Management Suite 11g リリース2 (11.1.2.1.0)

必須ソフトウェアの取得方法の詳細は「タスク2: 必要なソフトウェア・メディアとダウンロードの取得」を参照してください。

2

リポジトリ作成ユーティリティ(RCU)を使用して、データベース内でOAAMスキーマを作成または更新します。

スキーマ作成の詳細は、「タスク3: データベースの特定と必要なデータベース・スキーマのインストール」を参照してください。

3

IBM WebSphereソフトウェアをインストールします。

IBM WebSphereソフトウェアのインストールの詳細は、「タスク4: IBM WebSphereソフトウェアのインストール」を参照してください。

4

Oracle Identity and Access Management Suiteをインストールします。

IBM WebSphereでのOracle Identity and Access Managementのインストールの詳細は、第2章「IBM WebSphereでのOracle Identity and Access Managementのインストールおよび構成」と『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』を参照してください。

5

新しいIBM WebSphereセルでOracle Fusion Middlewareコンポーネントを構成します。

セルとは、管理ドメイン全体を包含する単一の管理ドメイン内にあるノードのグループです。

第2.8.1項「IBM WebSphereでの構成ウィザードの使用方法に関する一般情報」では、構成ウィザードを使用して、単純なIBM WebSphereセルにOracle Fusion Middleware製品を構成する方法について説明します。サーバーおよびクラスタのセルへの追加に関する情報も含めた、Oracle Fusion Middleware構成ウィザードの使用方法の詳細は、『Oracle Fusion Middleware IBM WebSphere Application Server構成ガイド』を参照してください。

6

ポリシー再アソシエーションの変更を実行します。

再アソシエーション変更の実行の詳細は、「タスク9: データベース・セキュリティ・ストアの構成」を参照してください。

7

サーバーを起動します。

サーバーの起動の詳細は、「サーバーの起動」を参照してください。

8.1.1 サーバーの起動

Oracle Fusion Middlewareソフトウェアが正常に構成された後は、IBM WebSphereのデプロイメント・マネージャ、ノード、およびサーバーを起動できます。IBM WebSphereセルでのサーバーの起動と停止には、次の2つの方法があります。

- プロファイル・スクリプトを使用

- Oracle Enterprise Manager Fusion Middleware Controlを使用

次の手順は、プロファイル・スクリプトの実行方法と、デプロイメント・マネージャ、ノード、サーバーをセルで起動するために必要な順序を示しています。IBM WebSphereサーバーの起動の詳細は、第2.10項「IBM WebSphereサーバーの起動」を参照してください。

8.1.1.1 デプロイメント・マネージャの起動

デプロイメント・マネージャを起動するには、IBM WebSphereのホームで次のディレクトリに移動して、次のコマンドを入力します。

(UNIX) WAS_HOME/profiles/deployment_mgr_profile_name/bin/startManager.sh
(Windows) WAS_HOME\profiles\deployment_mgr_profile_name\bin\startManager.cmd

たとえば、UNIXオペレーティング・システムでは次のようになります。

/opt/IBM/WebSphere/AppServer/profiles/Dmgr01/bin/startManager.sh

WAS_HOMEは、IBM WebSphereがインストールされているAppServerディレクトリへのパスです。

8.1.1.2 ノードの同期化

ノードとは、1つのオペレーティング・システム・インストール内で構成および操作管理に対応するアプリケーション・サーバーの管理グループです。ノードを同期化するには、IBM WebSphereのホームで次のディレクトリに移動して、次のコマンドを入力します。

(UNIX) WAS_HOME/profiles/profile_name/bin/syncNode.sh
DMGR_HOST DMGR_SOAP_PORT -username admin_user -password admin_password

(Windows) WAS_HOME\profiles\profile_name\bin\syncNode.cmd
DMGR_HOST DMGR_SOAP_PORT -admin_user username -password admin_password

8.1.1.3 ノードの起動

ノードを起動するには、IBM WebSphereのホームで次のディレクトリに移動して、次のコマンドを入力します。

(UNIX) WAS_HOME/profiles/profile_name/bin/startNode.sh
(Windows) WAS_HOME\profiles\profile_name\bin\startNode.cmd

たとえば、UNIXオペレーティング・システムでノードを起動するには、次のように入力します。

/opt/IBM/WebSphere/AppServer/profiles/Custom01/bin/startNode.sh

8.1.1.4 OracleAdminServerの起動

OracleAdminServerを起動するには、IBM WebSphereのホームで次のディレクトリに移動して、次のコマンドを入力します。

(UNIX) WAS_HOME/profiles/profile_name/bin/startServer.sh OracleAdminServer
(Windows) WAS_HOME\profiles\profile_name\bin\startServer.cmd OracleAdminServer

たとえば、UNIXオペレーティング・システムでOracleAdminServerを起動するには、次のように入力します。

/opt/IBM/WebSphere/AppServer/profiles/Custom01/bin/startServer.sh
OracleAdminServer

OracleAdminServerの起動後には、IBM WebSphere Administrative ConsoleまたはOracle Enterprise Manager Fusion Middleware Controlを使用してその他のサーバーを起動できます。詳細は、第3.1項「IBM WebSphereのOracle Fusion Middleware管理ツールのサマリー」を参照してください。

8.1.1.5 OAAM管理サーバーをホストする管理対象サーバーのスクリプトによる起動

OAAM管理サーバーを起動するには、IBM WebSphereのホームで次のディレクトリに移動して、次のコマンドを入力します。

(UNIX) OAAM_PROFILE/bin/startServer.sh oaam_admin_server1
(Windows) OAAM_PROFILE\bin\startServer.cmd oaam_admin_server1

OAAM管理サーバーのデフォルトのサーバー名は、oaam_admin_server1です。

たとえば、UNIXオペレーティング・システムでOAAM管理サーバーを起動するには、次のように入力します。

/opt/IBM/WebSphere/AppServer/profiles/Custom01/bin/startServer.sh
oaam_admin_server1

OAAM_PROFILEは、OAAM管理サーバーがインストールされているIBM WebSphereプロファイルです。

たとえば、UNIXオペレーティング・システムでは、OAAM_PROFILEは次のようになります。

WAS_HOME/profiles/profile_name

8.1.1.6 Oracle Adaptive Access Managerランタイム・サーバーをホストする管理対象サーバーのスクリプトによる起動

OAAMサーバーを起動するには、IBM WebSphereのホームで次のディレクトリに移動して、次のコマンドを入力します。

(UNIX) OAAM_PROFILE/bin/startServer.sh oaam_server_server1
(Windows) OAAM_PROFILE\bin\startServer.cmd oaam_server_server1

OAAMランタイム・サーバーのデフォルトのサーバー名は、oaam_server_server1です。

OAAM_Profileは、OAAMサーバーがインストールされているIBM WebSphereプロファイルです。

たとえば、UNIXオペレーティング・システムでOAAMランタイム・サーバーを起動するには、次のように入力します。

/opt/IBM/WebSphere/AppServer/profiles/Custom01/bin/startServer.sh
oaam_server_server1

たとえば、UNIXオペレーティング・システムでは、OAAM_PROFILEは次のようになります。

WAS_HOME/profiles/profile_name

8.1.2 サーバーの停止

プロファイル・スクリプトまたはOracle Enterprise Manager Fusion Middleware Controlを使用して、Oracle Fusion Middlewareに構成したセル内でサーバーを停止できます。

8.1.2.1 Fusion Middleware Controlを使用したIBM WebSphereサーバーの停止

Fusion Middleware ControlからIBM WebSphereサーバーを停止することもできます。

たとえば、Fusion Middleware Controlからサーバーを停止する手順は次のとおりです。

1. Fusion Middleware Controlにログインします。
Fusion Middleware Controlのポート番号とURLを検索するには、第3.1.2.2項「Fusion Middleware Controlのポート番号とURLの検索」を参照してください。

2. サーバーのホームページに移動します。
詳細は、第3.1.2.5項「Fusion Middleware ControlからのIBM WebSphereサーバーの表示」を参照してください。

3. 「WebSphere Application Server」メニューから、「コントロール」→「停止」の順に選択します。
Fusion Middleware Controlに、確認のダイアログ・ボックスが表示されます。

4. 「停止」をクリックします。

8.1.2.2 プロファイル・スクリプトを使用したIBM WebSphereサーバーの停止

プロファイル・スクリプトを使用してIBM WebSphereサーバーを停止することもできます。

IBM WebSphereサーバーを停止するには、IBM WebSphereのホームで次のディレクトリに移動して、次のコマンドを入力します。

(UNIX) OAAM_PROFILE/bin/stopServer.sh server_name
-username username -password password

(Windows) OAAM_PROFILE\bin\stopServer.cmd server_name
-username username -password password

8.1.2.3 OracleAdminServerの停止

OracleAdminServerを停止するには、IBM WebSphereのホームで次のディレクトリに移動して、次のコマンドを入力します。

(UNIX) WAS_HOME/profiles/profile_name/bin/stopServer.sh OracleAdminServer
(Windows) WAS_HOME\profiles\profile_name\bin\stopServer.cmd OracleAdminServer

たとえば、UNIXオペレーティング・システムでは次のようになります。

/opt/IBM/WebSphere/AppServer/profiles/Custom01/bin/stopServer.sh
OracleAdminServer

8.1.2.4 ノードの停止

ノードを停止するには、IBM WebSphereのホームで次のディレクトリに移動して、次のコマンドを入力します。

(UNIX) WAS_HOME/profiles/profile_name/bin/stopNode.sh
-username admin_user -password admin_password

(Windows) WAS_HOME\profiles\profile_name\bin\stopNode.cmd
-username admin_user -password admin_password

たとえば、UNIXオペレーティング・システムでは次のようになります。

/opt/IBM/WebSphere/AppServer/profiles/Custom01/bin/stopNode.sh
-username admin_user -password admin_password

8.1.2.5 デプロイメント・マネージャの停止

デプロイメント・マネージャを停止するには、IBM WebSphereのホームで次のディレクトリに移動して、次のコマンドを入力します。

(UNIX) WAS_HOME/profiles/deployment_mgr_profile_name/bin/stopManager.sh
-username admin_user -password admin_password

(Windows) WAS_HOME\profiles\deployment_mgr_profile_name\bin\stopManager.cmd
-username admin_user -password admin_password

たとえば、UNIXオペレーティング・システムでは次のようになります。

/opt/IBM/WebSphere/AppServer/profiles/Dmgr01/bin/stopManager.sh
-username admin_user -password admin_password

8.1.3 OAAM管理コンソールへのログイン権限を持つユーザーの作成

デフォルトでは、OAAM管理コンソールへのログイン権限を持つユーザーはOAAMに用意されていません。ユーザーを作成して、必要なグループをそのユーザーに付与する必要があります。IBM WebSphereセル用に構成されたLDAPディレクトリ内にユーザーとグループを定義する必要があります。IBM WebSphereでのユーザーおよびグループの作成の詳細は、IBM WebSphereのドキュメントを参照してください。

表8-2に、Oracle Adaptive Access Managerに同梱されているデフォルトのロールをリストします。

表8-2 OAAMのロール

ロール名

ロール

説明

OAAMCSRGroup

CSRGroupロール

サポート担当者

OAAMCSRManagerGroup

CSRManagerGroupロール

サポート担当者

OAAMInvestigatorGroup

Investigatorロール

調査担当者

OAAMInvestigationManagerGroup

InvestigationManagerロール

調査担当者

OAAMRuleAdministratorGroup

RuleAdministratorsGroupロール

セキュリティ管理者

OAAMEnvAdminGroup

EnvAdminGroupロール

システム管理者

OAAMSOAPServicesGroup

SOAPServicesGroupロール

ユーザーに、URL /oaam_server/servicesにアクセスするためにこのロールが付与されます。

8.1.4 IBM WebSphere上のOAAMに対するCLI環境の設定

OAAMコマンドライン・インタフェース(CLI)スクリプトでは、OAAM管理コンソールを使用しないで様々なタスクを実行できます。

CLI環境の設定には、次のタスクが含まれます。

1. CLI作業ディレクトリの設定

2. 資格証明ストア・フレームワーク(CSF)の構成の設定

3. OAAMデータベース資格証明の設定

8.1.4.1 CLI作業ディレクトリの設定

CLIディレクトリを作業ディレクトリにコピーします。

cp -r ORACLE_MW_HOME/IDM_HOME/oaam/cli /home/user/IBM/oaam.cli

注意:

Oracle Identity and Access Managementスイートのインストール後に、Oracle Identity and Access ManagementのOracleホーム・ディレクトリ(Oracle_IDM1など)がMiddlewareホームの下に作成されました。

8.1.4.2 環境変数の設定

JavaホームおよびMiddlewareホームの環境を設定するには、次の手順に従います。

1. IBM WebSphere (WAS_HOME/java)内のJDKにJAVA_HOMEを設定します。

set JAVA_HOME=DISK/IBM/WebSphere/Application-Server/java

2. ORACLE_MW_HOMEをMiddlewareディレクトリ(Oracle_Commonディレクトリへの完全なパス)に設定します。

8.1.4.3 資格証明ストア・フレームワーク(CSF)構成の設定

資格証明ストアは、ユーザー名とパスワードの組合せ、チケットまたは公開鍵証明書を保持できるリポジトリです。Oracle Platform Security Servicesは資格証明ストア・フレームワーク(CSF)を備えています。これは、アプリケーションで資格証明を安全に作成、読取り、更新および管理する際に使用できる一連のAPIです。OAAMではCSF APIを使用して資格証明にアクセスします。資格証明はIBM WebSphereサーバー・ドメインのCSFに格納され、Oracle Enterprise Manager Fusion Middleware Controlを使用して管理されます。

CSFに格納されているOAAM暗号化キーにアクセスするには、次のいずれかのメカニズムを選択します。

- Mbeanを含まないCSF

- Mbeanを含むCSF

8.1.4.3.1 MBeanを含まないCSFを使用したOAAMデータベースの詳細の構成

このメカニズムを使用するには、cliディレクトリをコピーした作業ディレクトリに移動し、テキスト・エディタでファイルconf/bharosa_properties/oaam.cli.propertiesを開いて次のプロパティを設定します。

プロパティ名

プロパティ値に関する注意事項

oaam.csf.useMBeans

false

oaam.jps.config.filepath

jps-config-jse.xmlの絶対パスを設定します。

WAS_HOME/profiles//Dmgr01/config/cells/slc01hvgCell01/fmwconfig/jps-config-jse.xml

oaam.db.url

OAAMデータベースの有効なJDBC URLを指定します。

oaam.db.additional.properties.file

追加のOracle TopLinkプロパティがない場合は、このフィールドを空白のままにします。

それ以外の場合は、追加のOracle TopLinkプロパティを含むプロパティ・ファイルの名前を指定します。ファイルがoaam_cli.propertiesと同じディレクトリにあることを確認します。

oaam.db.driver

oracle.jdbc.driver.OracleDriver

OAAMスキーマが非Oracleデータベースにある場合のみ、値を変更します。

oaam.db.min.read-connections

1

必要な場合を除き、この値は変更しないでください。

oaam.db.max.read-connections

25

必要な場合を除き、この値は変更しないでください。

oaam.db.min.write-connections

1

必要な場合を除き、この値は変更しないでください。

oaam.db.max.write-connections

25

必要な場合を除き、この値は変更しないでください。

8.1.4.3.2 MBeanを含むCSFを使用したOAAMデータベースの詳細の構成

MBeanを含むCSFを使用してOAAMデータベースの詳細を構成するには、cliディレクトリをコピーした作業ディレクトリに移動し、テキスト・エディタでファイルconf/bharosa_properties/oaam_cli.propertiesを開いて次のプロパティを設定します。

プロパティ名

プロパティ値に関する注意事項

oaam.csf.useMBeans

true (trueを維持します)

oaam.adminserver.hostname

IBM WebSphere管理サーバーが実行しているホスト名。

oaam.adminserver.port

IBM WebSphere管理サーバーのデプロイメント・マネージャのORB_LISTENER_ADDRESSのポート番号。通常、これは9100です。

IBM WebSphere管理コンソールにログインします。

「System Administration」→「Deployment Manager」→「Configuration」→「Additional Properties」→「Ports」→「ORB_LISTENER_ADDRESS」の順に移動します。

oaam.was.client.sasPropFile

IBM WebSphereのリモートJMXクライアントに必要なsas.client.propertiesファイルへの絶対パス。

/home/user/IBM/oaam.cli/sample.sas.client.properties

oaam.db.url

OAAMデータベースの有効なJDBC URLを指定します。

oaam.adminserver.type

was

oaam.db.additional.properties.file

追加のOracle TopLinkプロパティがない場合は、このフィールドを空白のままにします。

それ以外の場合は、追加のOracle TopLinkプロパティを含むプロパティ・ファイルの名前を指定します。このファイルがoaam_cli.propertiesファイルと同じディレクトリにあることを確認します。

oaam.db.driver

oracle.jdbc.driver.OracleDriver

OAAMスキーマが非Oracleデータベースにある場合のみ、この値を変更します。

oaam.db.min.read-connections

1

必要な場合を除き、この値は変更しないでください。

oaam.db.max.read-connections

25

必要な場合を除き、この値は変更しないでください。

oaam.db.min.write-connections

1

必要な場合を除き、この値は変更しないでください。

oaam.db.max.write-connections

25

必要な場合を除き、この値は変更しないでください。

8.1.4.4 OAAMデータベース資格証明の設定

OAAM CLIでは、2つの対称鍵(管理サーバーがはじめて起動されると自動的に生成されます)と、データベース資格証明キー(OAAM DBスキーマおよびパスワード)を取得する必要があります。たとえば、CSFからデータベース・スキーマに接続するためのDEV_OAAM/password)。

1. 次のディレクトリに進みます。

CLI_DIR/conf/bharosa_properties

CLI_DIRをCLIがインストールされているディレクトリに置き換えます。

2. 第8.1.4.3項「資格証明ストア・フレームワーク(CSF)の構成の設定」に説明するように、oaam_cli.propertiesをCSF用に編集します。

3. oaam.uio.oam.hostプロパティをlocalhostに設定します。

4. setupOAMTapIntegration.shスクリプトを実行してTAP統合用に設定します。

sh setupOAMTapIntegration.sh conf/bharosa_properties/oaam_cli.properties

5. プロンプトが表示されたら、OAAMデータベースのユーザー名とパスワードを入力して、その他のプロパティに対して[Enter]キーを押します。
このスクリプトにより、資格証明がCSFに追加されます。

注意:

スクリプトの実行終了時に表示される失敗メッセージは無視してください。

6. 資格証明がCSFに追加されたかどうかを検証するには、次の手順を実行します。

1. 管理者アクセス権でFusion Middleware Controlにログインします。
Fusion Middleware Controlのポート番号とURLを検索するには、第3.1.2.2項「Fusion Middleware Controlのポート番号とURLの検索」を参照してください。

2. ナビゲータで、「Cell_WebSphere」を右クリックして、「Security」→「Credentials」の順に選択します。

3. oaamというマップを開いて、3つのキーが存在するかどうか確認します。

資格証明ストアの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。

8.1.4.5 CLIコマンドの実行

設定が終了すると、CLI作業ディレクトリからCLIコマンドを実行できるようになります。このコマンドは、Oracle WebLogicデプロイメントのものと同じです。

コマンドの実行例を次に示します。

1. CLIエクスポート・コマンドをCLI_DIRから実行します。

sh runImportExport.sh -action export -module properties

Oracle WebLogicまたはIBM WebSphereを選択するためのプロンプトが表示されます。

2. IBM WebSphereに対して2を選択します。
WAS_HOMEに対する入力が求められます。

3. WAS_HOMEを設定します。
例: /opt/IBM/WebSphere/AppServer

4. $IDM_HOMEが設定されていない場合は、ORACLE_HOMEディレクトリに対する入力が求められます。Oracle Identity and Access Management Suiteのインストール時に指定したものと同じORACLE HOMEディレクトリを指定します。たとえば、Oracle_IDM1と指定します。

8.2 IBM WebSphereでのOAAMのレポートおよび監査の設定

IBM WebSphere上のOAAMに対して、データベース監査ストアを使用して監査を設定し、有効化します。この項で手順を示します。

8.2.1 RCUによる監査スキーマの作成

監査レコードの永続的ストアとしてデータベースに切り替えるには、最初にリポジトリ作成ユーティリティ(RCU)を使用して監査データ用のデータベース・ストアを作成する必要があります。

この項では、監査スキーマの作成方法を説明します。データベース・スキーマの作成後は、次のことが可能になります。

- このスキーマを指し示すデータソースを作成します。

- ドメイン構成を更新して、監査レコード用に監査データ・ストアを切り替えます。

注意:

この説明では、RCUおよびデータベースが環境にインストール済であることを前提としています。RCUの使用方法の詳細は、『Oracle Fusion Middleware Repository Creation Utilityユーザーズ・ガイド』を参照してください。

始める前に

作業を開始する前に、使用するデータベースの詳細情報を収集し、DBA資格証明を入手してください。DEV_IAUまたは対応するユーザーを使用してデータベースにログインできることが必要です。

データベース・スキーマの構成

監査データ・ストア用のスキーマを構成するには、次の手順に従います。

1. RCU_HOME/binに移動して、RCUユーティリティを実行します。

2. 開始画面で「作成」を選択します。「次へ」をクリックします。

3. データベースの詳細情報を入力して、「次へ」をクリックします。

4. 新しい接頭辞を作成するオプションを選択します。

5. また、スキーマのリストから「監査サービス」を選択します。

6. 「次へ」をクリックして、表領域の作成を承認します。

7. スキーマの作成中にエラーが発生していないか確認します。

8.2.2 IBM WebSphere管理コンソールの起動

次のコマンドを入力して、デプロイメント・マネージャを起動します。

(UNIX) WAS_HOME/profiles/deployment_mgr_profile_name/bin/startManager.sh
(Windows) WAS_HOME\profiles\deployment_mgr_profile_name\bin\startManager.cmd

IBM WebSphere管理コンソールにログインします。

8.2.3 J2C認証データの作成

データ・ソースを構成する際、まずJ2C認証データ・エントリを作成する必要があります。データベースへのアクセスに必要なユーザーIDとパスワードは、J2C認証データ・エントリで指定されます。

1. 「Security」→「Global Security」→「Java Authentication and Authorization Service」の順にクリックして、「J2C authentication data」を選択します。

2. 「New」をクリックし、IAUスキーマのユーザー名とパスワードを使用して認証データを作成します。
例: DEV_IAU/password。

J2C認証別名には任意の有効な文字列を入力できます。

3. 「OK」をクリックします。

4. 「Servers」→「Server types」→「WebSphere application servers」の順に選択して、すべてのアプリケーション・サーバーを停止します。

5. ノードを停止します。
例:

WAS_HOME/profiles/Custom01/bin/stopNode.sh

6. ノードを同期化します。
例:

WAS_HOME/profiles/Custom01/bin/syncNode.sh host soap-port

7. デプロイメント・マネージャを停止します。
例:

WAS_HOME/profiles/Dmgr01/bin/stopManager.sh

8. デプロイメント・マネージャを起動します。
例:

WAS_HOME/profiles/Dmgr01/bin/startManager.sh

9. ノードを起動します。
例:

WAS_HOME/profiles/Custom01/bin/startNode.sh

8.2.4 監査イベントのデータ・ソースの作成

第8.2.1項「RCUによる監査スキーマの作成」で説明したように、データベースに監査レコードを格納するデータベース・スキーマを作成した後、そのスキーマを指すIBM WebSphereサーバーの監査データソースを設定する必要があります。これを行うには:

1. IBM WebSphere管理コンソールを使用して、OAAMデータベース用にIBM WebSphereデータソースを作成します。
IBM WebSphere管理コンソールにログインします。

http://host:port/ibm/console

2. IBM WebSphere管理コンソールの左パネルで、「Resource」セクションの下で「JDBC」を開いて「Datasource」をクリックします。

3. 「Cell」スコープを選択して、「New」をクリックします。
IBM WebSphere管理コンソールで表示するデータソースの名前を入力し、データソースのバインド先であるJNDI名を指定するように求められます。

4. OracleAdminServer、oaam_admin1、およびoaam_server1のスコープ別にjdbc/AuditDBというJNDIを使用してデータ・ソースを作成します。

- oaam_admin1の監査データ・ソースの場合は、データ・プロバイダとしてOAAM_ADMIN_DBを選択し、「Component-managed authentication alias」では、第8.2.3項「J2C認証データの作成」で作成したJ2C認証IDを選択します。

- oaam_server1の監査データ・ソースの場合は、データ・プロバイダとしてOAAM_SERVER_DBを選択し、「Component-managed authentication alias」では、第8.2.3項「J2C認証データの作成」で作成したJ2C認証IDを選択します。

- OracleAdminServerの監査データ・ソースの場合は、データ・プロバイダとしてmds-oaamを選択し、「Component-managed authentication alias」では、第8.2.3項「J2C認証データの作成」で作成したJ2C認証IDを選択します。

5. ノードを同期化した後で、新しく作成されたデータ・ソースの接続をテストします。第8.1.1.2項「ノードの同期化」の手順に従います。

6. データ・ソースを選択し、「接続のテスト」ボタンをクリックして、各接続をテストします。新しく作成した3つのデータ・ソースのテスト接続がすべて成功していることを確認します。

8.2.5 wsadminスクリプトを使用した監査リポジトリの設定

監査リポジトリを設定するには、次の手順に従います。

1. OAAM Oracleホームのcommon/binディレクトリからOracle Fusion Middlewareのwsadminコマンドライン・シェルを起動します。
このコマンド構文を使用します。

(UNIX) IDM_HOME/common/bin/wsadmin.sh
-profileName profilename
-connType SOAP
-user admin_user
-password admin_password

(Windows) IDM_HOME\common\bin\wsadmin.cmd
-profileName profilename
-connType SOAP
-user admin_user
-password admin_password

例:

sh $IDM_HOME/common/bin/wsadmin.sh -profileName Dmgr01 -connType SOAP -user wasadmin -password welcome1

2. wsadminコマンドを実行して、監査リポジトリをデータベースに設定します。

wsadmin>Audit.setAuditRepository(switchToDB='true',dataSourceName='jdbc/AuditDB',interval='14')

成功した場合は、次の情報が表示されます。

Audit Repository Information updated
Server has to be restarted

3. ノードとマネージャを停止してから再起動します。「Servers」→「Server types」→「WebSphere application servers」の順に選択して、すべてのアプリケーション・サーバーを起動します。

8.2.6 Fusion Middleware Controlでの監査ポリシーの設定

IBM WebSphereセルの一環としてインストールし構成したOracle Fusion Middleware製品は、Fusion Middleware Controlから管理できます。

「監査ポリシー設定」ページでは、監査イベントを管理します。各コンポーネントとそのイベントは、「名前」列にツリー構造で表示されます。ツリーを開くと、使用できるイベントの詳細が表示されます。

1. Fusion Middleware Controlにログインします。
Fusion Middleware Controlのポート番号とURLを検索するには、第3.1.2.2項「Fusion Middleware Controlのポート番号とURLの検索」を参照してください。

2. Fusion Middleware Controlの「ターゲット・ナビゲーション・ペイン」で、「WebSphereセル」→「Cell_WebSphere」の順に移動します。

3. 「Cell_WebSphere」を右クリックして、「セキュリティ」→「監査ポリシー設定」の順に移動します。「監査ポリシー設定」ページが表示されます。

4. 事前構成済監査レベルのドロップダウン・リストを選択できます。2つの事前定義済レベル(「低」、「中」)では、すべてのコンポーネントの監査イベントのサブセットを自動的に選択します。ほとんどの場合は、事前定義済のレベルで十分です。

- なし: 監査対象のイベントは選択されません。

- 低: 小さなイベント・セットが選択され、通常これらによるコンポーネント・パフォーマンスへの影響は最小限に抑えられます。

- 中: 「低」のイベント・セットのスーパーセットです。これらのイベントは、コンポーネント・パフォーマンスにより大きな影響を与えます。

- カスタム: このレベルではポリシーを微調整できます。次の表は、ドメイン内で実行中のアプリケーションを示しています。

表は、次の列から構成されています。

- 名前: ドメイン内のコンポーネントとアプリケーションが表示されます。

- 監査の有効化: 対応するイベント・タイプが監査されるかどうかが表示されます。「カスタム」監査ポリシーが無効な場合、この列はグレー表示されます。

- フィルタ: イベント・タイプで有効なフィルタが表示されます。

5. 監査イベントを有効化して、「適用」をクリックします。

- 監査ポリシーをカスタマイズするには、ドロップダウンの「カスタム」オプションを使用します。これにより、すべてのイベントを選択するか、「監査の有効化」列の関連するボックスを選択することにより、必要に応じて適切なサブセットを手動で選択できます。「カスタム」レベルを選択した場合、個々のイベント結果(成功および失敗)に対してオプションのフィルタを使用して、監査方法をより詳細に制御できます。

- フィルタは、監査対象のイベントの選択やフィルタ処理のために定義できる、ルールベースの式です。式は、イベントの属性に基づきます。たとえば、ログイン・タイプのイベントでは、ユーザー・フィルタとしてイニシエータを指定できます。そのような場合、イベントは、指定されたユーザーがログインするたびに監査レコードを生成します。
鉛筆のアイコンは、該当するイベントでフィルタを使用できることを示します。

アイコンをクリックし、「フィルタの編集」ダイアログを表示します。

- 「障害のみ選択」ボタンをクリックして、ポリシー内の失敗したイベント(失敗した認証など)のみを選択します。これで、失敗したイベントに対して「監査の有効化」ボックスが選択されます。

- インポート/エクスポート: これらのボタンにより、ポリシー構成を保存し、再使用することができます。ポリシーの編集の際、いつでも「エクスポート」をクリックして現在の設定をファイルに保存したり、「インポート」をクリックして保存したファイルから設定をロードすることができます。

- 必要に応じ、ユーザーのカンマ区切りリストを「常に監査するユーザー」で指定することで、これらのユーザーが開始したイベントを監査フレームワークで監査できるようになります。これにより、指定した監査レベルやフィルタに関係なく監査が行われます。

- ポリシーを変更した場合、「適用」をクリックしてその変更を保存します。
ポリシーの変更を取り消し、既存のポリシーに戻すには、「回復」をクリックします。

6. すべての関連アプリケーション・サーバーの停止、ノードの停止、ノードの同期化、マネージャの停止、マネージャの起動、ノードの起動、アプリケーション・サーバー/アプリケーションの起動。

8.3 テスト環境から本番環境へのOAAMの移行

この項では、OAAMをテスト環境から本番環境に移行する方法について説明します。テスト環境内でポリシーおよびルールの開発とテストを行い、最終的には新しいポリシーとルールを、また、必要に応じてテスト・データを本番環境にロール・アウトできます。

OAAMコンポーネントを移行しない場合、移行元の環境で行ったカスタマイズや構成変更は、移行先の環境にすべて再適用する必要がありますが、コンポーネントを移行することにより、このような作業が最小化されます。テスト環境では、OAAMのインストール、構成、カスタマイズおよび検証を行うことができます。システムが安定し、必要に応じて機能するようになったら、本番環境を作成します。このとき、テスト環境に取り込んだすべての変更内容を再実行するかわりに、コンポーネントとその構成のコピーをテスト環境から移行することで本番環境を作成できます。既存の本番環境がある場合は、カスタマイズなど、テスト環境のすべての変更内容を本番環境に移行できます。

Oracle Adaptive Access Managerを新しい本番環境に移行するには、次のガイドラインに従います。デプロイメントに関連するアイテムに関して、本番環境を手動で更新します。

8.3.1 テスト環境からのスナップショットのエクスポート

スナップショットとは、現在のシステム構成のバックアップのことです。OAAM CLIを使用し、テスト環境からOAAMスナップショットをエクスポートします。スナップショットのエクスポートの例を次に示します。

runImportExport.sh -action export -module snapshot -snapshotname "name of snapshot" -description "snapshot description"

runImportExport.sh -action export -module snapshot -snapshotname "OAAM Snapshot" -description "OAAM snapshot description"

オプション-snapshotname , -descriptionはオプションです。snapshotnameが指定されている場合、エクスポートされたZIPファイル名はvalue passed for -snapshotname.zipとなります。snapshotnameが指定されていない場合、CLIでは、snapshot_unique_valueなどの名前を持つ一意のファイル名が作成されます。

エクスポートされるZIPファイルには、次の内容で構成されたsnapshot.propertiesファイルも1つ含まれます。

プロパティ

説明

serverIP

CLIが実行されるサーバーのIPです。

user

オペレーティング・システムのユーザー名

name

-snapshotnameでスナップショット名を指定した場合はその名前、指定しなかった場合はシステムで生成された一意の名前です。

description

-descriptionでスナップショットの説明を指定した場合はその説明、指定しなかった場合はシステムで生成された一意の名前です。

serverName

CLIが実行されたホスト名です。

8.3.2 個別の構成のエクスポート

いくつかの構成を本番環境に移行していて、スナップショット全体をエクスポートする必要がない場合は、OAAM管理コンソールを使用して個別のコンポーネントの構成をZIPファイルにエクスポートします。エクスポートの詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』で特定の章を参照してください。

表8-3に、個別にエクスポートできるOAAMの構成をリストします。

表8-3 個別の構成のエクスポート

構成

情報

ポリシー

『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のポリシーのエクスポートに関する項を参照してください。

ルール条件

『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』の条件のエクスポートに関する項を参照してください。

パターン

『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のパターンのエクスポートに関する項を参照してください。

構成可能なアクション

『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のアクション・テンプレートのエクスポートに関する項を参照してください。

トランザクション定義

『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のトランザクション定義のエクスポートに関する項を参照してください。

エンティティ

『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のエンティティのエクスポートに関する項を参照してください。

KBAの質問

『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』の質問のエクスポートに関する項を参照してください。

KBAの検証

『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のエンティティのエクスポートに関する項を参照してください。

8.3.3 本番環境のバックアップ

スナップショットを本番システムにインポートする前に、本番システムのシステム構成全体が置き換えられることを認識しておく必要があります。インポートが失敗した場合、または予想していなかったその他の問題が生じた場合に現在の構成が失われないようにするために、インポート前に現在の本番環境のスナップショットを作成しておく必要があります。スナップショットをインポートした後でインポートを元に戻すことはできませんが、バックアップがあれば、インポートが失敗した場合でも元の構成をただちにシステムにリストアすることができます。

スナップショットを作成すると、機能領域のすべての構成(アクティブな構成と無効な構成の両方)が選択されます。たとえば、ポリシー・セット内に10個のポリシーがあり、そのうち5個がアクティブで、5個が無効になっている場合、スナップショットを作成すると、すべてのポリシーとその構成およびステータス情報が含められます。

バックアップおよびリストア時には、アイテムのステータスは保存されます。たとえば、無効なアイテムは、バックアップおよびリストア時も無効なままです。

個別のアイテムを選択してスナップショットに含めたり、選択的なリストアを実行することはできません。特定の構成のみをスナップショットに含める場合は、そのモジュールからそれらの構成をエクスポートして再びインポートした後、スナップショットを作成できます。

スナップショットの場合、メタデータは次のアイテムとともに格納されます。

アーティファクト

コメント

追加の注意事項

ポリシー・セット

ポリシー・セットのオーバーライド

追加の注意事項はありません。

ポリシー

すべてのポリシー

トリガー組合せを含みます。

ルール・インスタンス

すべてのルール・インスタンス

追加の注意事項はありません。

条件

すべてのルール条件

追加の注意事項はありません。

グループ

リンクされているかどうか、すべてのグループのグループ定義

アラートおよびアクションのグループ・メンバーのみがエクスポートされます。

パターン

すべてのパターン

追加の注意事項はありません。

トランザクション定義

すべてのトランザクション定義

追加の注意事項はありません。

エンティティ

リンクされているかどうか、すべてのエンティティ

追加の注意事項はありません。

プロパティ

データベース内のみ

追加の注意事項はありません。

列挙

データベース内のみ

追加の注意事項はありません。

構成可能なアクション

追加の注意事項はありません。

チャレンジ質問

検証、カテゴリおよび構成を含む(回答ロジックなど)

追加の注意事項はありません。

構成データをデータベースまたはファイルにバックアップします。ファイルの場合は、CLIまたはUniversal Risk Snapshot機能を使用してエクスポートを実行します。

8.3.4 グループ・メンバーのエクスポート

スナップショットにはグループのメンバーは含められません(アクション・グループおよびアラート・グループを除く)。ただし、グループそのものはスナップショットに含められます。グループ・メンバーをバックアップするには、スナップショットのエクスポートとは別にグループのエクスポートを実行する必要があります。これらのグループ・メンバーは、必要に応じて「グループ」ユーザー・インタフェースを使用してインポートする必要があります。

グループをエクスポートするには、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のグループのエクスポートに関する項を参照してください。

8.3.5 本番環境へのスナップショットのインポート

次に、スナップショットのインポートの手順を示します。

8.3.5.1 ユニバーサル・リスク・スナップショットを使用したスナップショットのインポート

システムで使用するスナップショットをユニバーサル・リスク・スナップショット機能を使用してインポートするには、次の手順に従います。

1. ナビゲーション・ツリーで、「環境」にある「システム・スナップショット」を開きます。
システム・スナップショット検索ページが表示されます。

2. 「ファイルからロード」ボタンをクリックします。
「スナップショットのロードおよびリストア」ダイアログが表示されます。スナップショットをインポートすると現在のシステムの構成内容が上書きされるため、ここで現在のシステムをバックアップしておくこともできます。

3. 現在のシステムのバックアップを保持しておくには、「現在のシステムを今すぐバックアップ」ボックスを選択し、バックアップの名前とノートを入力したら「続行」をクリックします。
「スナップショットのロードおよびリストア」ダイアログが表示され、現在のシステムが正常にデータベースに格納されたことを示すメッセージが示されたら、「OK」をクリックします。

続いて、「スナップショットのロードおよびリストア」ページが表示されたら、サーバーにロードするスナップショットを選択し、基本的な認証フローを実行します。

4. 現在の構成のバックアップが確実に必要ない場合や、空のシステムにスナップショットをインポートする場合は、ダイアログを空白のままにして「続行」をクリックします。
システムのバックアップを選択しなかったために、新しいスナップショットをロードするとメタデータの詳細が上書きされる可能性があることを示す警告が表示されます。バックアップを取得する場合は、「戻る」ボタンをクリックして前のページに戻り、バックアップの詳細を指定します。インポートを進める場合は、「続行」をクリックします。

「スナップショットのロードおよびリストア」ページが表示されたら、サーバーにロードするスナップショットを選択し、基本的な認証フローを実行します。

5. これで、スナップショットをロードできるようになりました。ダイアログの「参照」ボタンをクリックして、ロードするスナップショットのファイル名を入力します。画面が表示されたら、スナップショット・ファイルが配置されているディレクトリに移動します。「オープン」をクリックします。続いて、「ロード」ボタンをクリックして、スナップショットをシステムにロードします。
即時利用可能なスナップショットを初めてロードする場合、スナップショット・ファイルoaam_base_snapshot.zipはOracle_IDM1/oaam/initディレクトリにあります。このディレクトリにはOAAMに付属している基本コンテンツが配置されています。

6. 「OK」をクリックします。
スナップショットがロードされると、スナップショットのサマリーが表示されます。

「プレビュー」タブでは、次のことを実行できます。

- スナップショット内の条件、ルール、ポリシーなどを表示できます。

- オブジェクトに実行されるアクションを表示できます。たとえば、構成可能なアクションを含むスナップショットをロードする際に、構成可能なアクションがシステムにない場合は、その構成可能なアクションは無効になります。

- 更新分、変更分、または追加分のみなど、オブジェクトをフィルタして確認できます。
スナップショットをロードする際に、システム内の構成を無効にしてしまう可能性や既存のメタデータを上書きしてしまう可能性があるため、通常は前述したシステム内の変更はすべて確認する必要があります。

「更新」ボタンを使用すると、スナップショットを更新または別のスナップショットに変更し、既存のシステム・スナップショットと比べた場合の変更点を表示できます。

しかし、スナップショット内のアイテムはまだ有効ではありません。「リストア」ボタンをクリックするまでは、スナップショット内のアイテムは適用されません。

7. スナップショットを適用するには、「リストア」をクリックします。
スナップショットを適用したら、それが「システム・スナップショット」ページに表示されていることを確認します。検索を実行して、データベースにロードされているすべてのスナップショットを表示します。任意のスナップショットをクリックして表示し、「リストア」をクリックして変更を適用します。この機能を使用すると、システムを定期的にバックアップできます。バックアップはデータベースのメモリーまたはファイル、あるいはその両方に保存されます。

8.3.5.2 CLIを使用したスナップショットのインポート

CLIを使用してスナップショットをインポートするには、次のコマンドを実行します。

runImportExport.sh -action import -module snapshot 有効なスナップショットZIPファイルへのパス

8.3.6 本番環境へのグループ・メンバーのインポート

スナップショットのインポートではアクション・グループおよびアラート・グループがコピーされるだけなので、グループ・メンバーを本番環境にインポートする必要があります。グループを本番環境にインポートするには、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』のグループのインポートに関する項を参照してください。

8.3.7 本番環境へのJavaクラスのコピー

構成可能アクションがスナップショットに含まれている場合は、スナップショットがシステムに復元されたときに構成可能アクションが壊れないように、スナップショットの作成後に、指定されたディレクトリにJavaクラスをコピーする必要があります。

8.3.8 カスタム共有ライブラリの作成

共有ライブラリは、複数のアプリケーションで使用されるファイルです。デプロイされたアプリケーションは共有ライブラリ・ファイルを使用するため、ライブラリ・ファイル用に共有ライブラリを定義して、ライブラリを特定のアプリケーションと関連付ける必要があります。

8.3.8.1 カスタマイズ済ファイルのコピー

次のファイルをコピーし、この項に示す手順に基づいてカスタム共有ライブラリを構成します。

- OAAMサーバーでカスタマイズされたすべてのアイテム(ヘッダー、フッター、Cascading style sheets (CSS)、JavaScriptなど)

- カスタムjarに入っている仮想認証デバイス(VAD)イメージ

- プロパティ・ファイル、リソース・バンドル、およびエンドユーザーJSP画面

8.3.8.2 共有ライブラリの作成

複数のアプリケーションでライブラリ・ファイルを使用できるようにするには、次の手順に従って共有ライブラリを作成します。

1. IBM WebSphere管理コンソールにログインします。

2. コンソールのナビゲーション・ツリーで、「Environment」を開き、「Shared libraries」を選択します。

3. 「共有ライブラリ」ページで、「Show scope selection drop-down list with the all scopes option」を選択し、共有ライブラリ・スコープを選択します。

4. 表の上の「プリファレンス」の下で、「新規」ボタンをクリックして、ステップ3で選択したスコープに新しい共有ライブラリを作成します。

5. 共有ライブラリの設定ページの「名前」フィールドで、共有ライブラリの名前を指定します。

6. 「Classpath」テキスト・ボックスで、次のディレクトリに存在するすべてのJARファイルの絶対パスを指定します。

MW_HOME/Oracle_IDM1/oaam/oaam_libs/directory_name.

これらは、製品で共有ライブラリのクラスおよびリソースの検索に使用するパスです。

注意:

エントリごとに新規行を使用する必要があり、";"や":"のようなパス・セパレータを使用しないでください。

7. 「OK」をクリックして、「Save」をクリックします。

8.3.8.3 共有ライブラリ参照のOAAM管理およびOAAMサーバーへの追加

アプリケーションに共有ライブラリ参照を追加するには:

1. IBM WebSphere管理コンソールにログインします。

2. コンソールのナビゲーション・ツリーで、「Applications」を開き、「Application Types」を選択して、「WebSphere enterprise applications」をクリックし、アプリケーションのリストを開きます。

3. 「Enterprise Applications」ページで、共有ライブラリを参照する必要のあるアプリケーションをクリックします。

4. 「Configurations」の下で、「Shared library references」をクリックします。

5. 「Shared Library Mapping for Modules」セクションで、アプリケーションの横のチェック・ボックスを選択して、表の上にある「Reference Shared Libraries」ボタンをクリックします。

6. 「Available」リストから共有ライブラリを選択し、それを「Selected」リストに移動します。

7. 「OK」をクリックして、「Save」をクリックします。

8. ステップ2から7を繰り返します。

9. 共有ライブラリを参照しているすべてのアプリケーション・サーバーを停止します。

10. ノードを停止します。

11. ノードを同期化します。

12. デプロイメント・マネージャを停止します。

13. デプロイメント・マネージャを起動します。

14. ノードを起動します。

15. 共有ライブラリを参照しているアプリケーション・サーバー/アプリケーションを起動します。

8.3.9 KBAおよびOTPロジックとポリシー・オーバーライドの再作成

OAAM管理コンソールを使用して、KBAロジック、OTPロジックおよびポリシー・セットのオーバーライドを手動で再作成します。これらの再作成についての詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』を参照してください。

8.3.10 移行が正常に行われたかどうかの検証

次の手順を実行して、移行が正常に行われたかどうかを検証します。

1. OAAM管理コンソールにログインします。

http://oaam_managed_server_host:oaam_admin_managed_server_port/oaam_admin

2. 「ポリシー」モジュールに移動し、テスト環境のルールおよびグループが本番環境に存在することを確認します。

3. KBAモジュールに移動し、テスト環境のチャレンジ質問が本番環境に存在することを確認します。

4. Oracle Adaptive Access Manager用に構成されたWebアプリケーションをテストします。ユーザーは、登録およびチャレンジ・フローにリダイレクトされます。

8.4 Juniper Networks Secure Access (SA)とOAAMの統合

Juniper Networks Secure Access (SA)とOracle Adaptive Access Managerとの統合により、企業は、厳密なマルチファクタ認証と高度なリアルタイム不正行為防止機能を備えたリモート・アクセス制御ソリューションを実装して、企業のアプリケーションにセキュアにアクセスすることができます。

Oracle Adaptive Access ManagerとJuniper Networks Secure Access (SA)を統合してOracle Adaptive Access Managerの認証フローとパスワードを忘れた場合のフローを使用するには、この項の手順を参照してください。

8.4.1 Juniper Networks Secure Access (SA)とOAAMの統合ロードマップ

表8-4に、Oracle Adaptive Access ManagerとJuniper SAとの統合に対応する高レベルのタスクの概要を示します。

表8-4 JuniperとOAAMの統合フロー

手順

タスク

情報

1

前提条件を確認します。

詳細は、「IBM WebSphere上のOAAMに対するJuniper統合の前提条件」を参照してください。

2

認証プロバイダを構成します。

詳細は、「認証プロバイダの構成」を参照してください。

3

Oracle Platform Security Servicesを認証用に構成します。

詳細は、「Oracle Platform Security Services (OPSS)の統合用の構成」を参照してください。

4

ノードを同期化し、サーバーを再起動します。

1. ノードを停止します。

2. デプロイメント・マネージャを停止します。

3. デプロイメント・マネージャを起動します。

4. ノードを同期化します。

5. ノードを起動します。

6. OAAMサーバーを再起動します。

詳細は、「ノードの同期化とサーバーの再起動」を参照してください。

5

サーバー・プロパティをインポートします。

詳細は、「OAAM管理コンソールを使用したSAML構成関連サーバー・プロパティのインポート」を参照してください。

6

証明書またはトラストを設定します。

詳細は、「アサーションの署名に対する証明書の設定」を参照してください。

7

統合プロパティを変更します。

詳細は、「OAAM管理コンソールを使用した統合プロパティの変更」を参照してください。

8

Juniper Networks Secure Access (SA)を構成します。

詳細は、「Juniper Networks Secure Access (SA)の構成」を参照してください。

8.4.2 IBM WebSphere上のOAAMに対するJuniper統合の前提条件

この統合手順の場合は、次のソフトウェアを取得する必要があります。

- IBM WebSphere 7.0および、IBM WebSphereソフトウェアに必要なすべての修正パック
IBM WebSphereソフトウェアの取得とインストールについては、IBM WebSphereドキュメントを参照してください。詳細は、第1.4項「IBM WebSphereでのOracle Identity and Access Management製品の使用に関するドキュメント・リソース」を参照してください。

- Juniperドキュメントに従って構成されたJuniper
Juniper SA構成の詳細は、次のサイトで入手可能な『Juniper Networks Secure Access管理ガイド』を参照してください。

http://www.juniper.net/techpubs

- 『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』および第2章「IBM WebSphereでのOracle Identity and Access Managementのインストールおよび構成」に従って構成されたOracle Adaptive Access Manager。

8.4.3 認証プロバイダの構成

IBM WebSphereアプリケーション・サーバーでは、ユーザー・レジストリまたはユーザー・リポジトリはユーザーを認証し、ユーザーとグループに関する情報を取得して、認証および認可を含むセキュリティ関連の機能を実行します。ユーザーおよびグループに関する情報は、レジストリまたはリポジトリの内部に常駐しています。IBM WebSphereアプリケーション・サーバーは、ユーザー・レジストリまたはユーザー・リポジトリを使用してアクセス制御を決定します。

IBM WebSphereのユーザー・レジストリから切り替えてLDAPユーザー・レジストリを使用する場合の詳細は、IBM WebSphereドキュメントを参照してください。

LDAPを指し示すようにIBM WebSphereアプリケーション・サーバーにデフォルトのアイデンティティ・ストアを構成するには、次のように処理します。

1. LDAPの詳細を使用してLDAPプロパティ・ファイルを準備します。
必須プロパティの設定の詳細は、第9.1項「IBM WebSphereアイデンティティ・ストア」を参照してください。

2. 次のディレクトリに進みます。

MW_HOME/oracle_common/common/bin

3. JAVA_HOMEを(IBM WebSphereにバンドルされている)IBM JDKに設定します。
たとえば、次のようになります(cshの場合)。

setenv JAVA_HOME /opt/IBM/WebSphere/AppServer/java

4. WSADMINコマンドを実行して、アイデンティティ・ストアをIBM WebSphereに構成します。

1. wsadmin.shコマンドを実行して、WSADMINシェルを起動します。

./wsadmin.sh -port SOAP_PORT -user wasadmin_user -password password -conntype SOAP

例:

./wsadmin.sh -port port -user wasadmin -password pass -conntype SOAP

WASセルの設定時に指定したものと同じ資格証明を使用する必要があります。

2. wsadminプロンプトから、次のWSADMINコマンドを実行します。

Opss.configureIdentityStore(propsFileLoc="/tmp/oud.properties") - oud.properties

propsFileLocにより、LDAPアイデンティティ・ストアのプロパティ設定が含まれているファイルの場所が指定されます。このコマンドにより、プロパティ・ファイル内の仕様が含まれるように構成ファイルjps-config.xmlが変更されます。

OPSS.configIdentityStore()コマンドにより、IBM WebSphereアプリケーション・サーバーにあるデフォルトのアイデンティティ・ストアがLDAPを指し示すように変更されるため、OAAM管理コンソールにアクセスするには、LDAPにOAAMロールを作成し、それを必要なユーザーに割り当てる必要があります。

OPSS.configIdentityStore()コマンドを実行すると、次のエントリがjps.config.xmlファイルに表示されます。このエントリは、使用したLDAPのタイプと、OPSS.configIdentityStore()コマンドに指定したプロパティ・ファイルのコンテンツによって異なる場合があります。

<serviceInstance name="idstore.ldap.0" provider="idstore.ldap.provider">
<property name="subscriber.name" value="dc=oaam,dc=us,dc=oracle,dc=com"/>
<property name="bootstrap.security.principal.key" value="bootstrap_idstore"/>
<property name="idstore.type" value="OPEN_LDAP"/>
<property name="ldap.url" value="ldap://example.host:1389"/>
<property name="username.attr" value="uid"/>
<property name="bootstrap.security.principal.map" value="BOOTSTRAP_JPS"/>
<extendedProperty>
<name>user.search.bases</name>
<values>
<value>ou=users,dc=oaam,dc=us,dc=oracle,dc=com</value>
</values>
</extendedProperty>
<extendedProperty>
<name>group.search.bases</name>
<values>
<value>ou=groups,dc=oaam,dc=us,dc=oracle,dc=com</value>
</values>
</extendedProperty>
<extendedProperty>
<name>user.object.classes</name>
<values>
<value>person</value>
</values>
</extendedProperty>
</serviceInstance>
</serviceInstances>

8.4.4 Oracle Platform Security Services (OPSS)の統合用の構成

Oracle Platform Security Services (OPSS)では、企業の製品開発チーム、システム・インテグレータ(SI)および独立系ソフトウェア・ベンダー(ISV)に、Java Standard Edition (Java SE)およびJava Enterprise Edition (Java EE)のアプリケーション向けに標準ベースで移植可能な企業向け統合セキュリティ・フレームワークを提供します。OPSSの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。

1. OAAMがインストールされているマシンで、was_profile_dir/config/cells/cell_name/fmwconfigディレクトリに移動します。
例:

/scratch/xyz/IBM/WebSphere/AppServer/profiles/Dmgr04/config/cells/abc1234567Cell02/fmwconfig

2. jps-config.xmlをバックアップします。

3. jps-config.xmlをオープンします。

4. タグ</jpsContexts>を閉じる前に、次のJPSコンテキストを追加します。

<!-- This context is used for OAAM Juniper Integration -->
<jpsContext name="idcontext">
<serviceInstanceRef ref="user.authentication.loginmodule"/>
<serviceInstanceRef ref="idstore.ldap"/>
<serviceInstanceRef ref="credstore"/>
<serviceInstanceRef ref="keystore"/>
<serviceInstanceRef ref="policystore.xml"/>
<serviceInstanceRef ref="audit"/>
</jpsContext>

idstore.ldapの値を、 第8.4.3項「認証プロバイダの構成」でOPSSスクリプトの実行後に作成されたIDストアのサーバー・インスタンスに変更します。

たとえば、idstore.ldapをidstore.ldap.0に変更します。

5. ファイルを保存して終了します。

注意:

ファイルを保存した後で、XMLエディタを使用してすべてのタグが正しいことを確認する必要が生じることがあります。インターネット・エクスプローラでこのファイルを開いて、タグが抜けていないか確認することもできます。変更が正しい場合は、インターネット・エクスプローラでファイルを正常に開くことができます。

8.4.5 ノードの同期化とサーバーの再起動

これらの変更では再起動が必要なため、IBM WebSphere管理サーバー、OAAM管理サーバー、OAAM管理対象サーバーを停止してから起動してください。

ノードとデプロイメント・マネージャを停止してノードを同期化する際に、IBM WebSphere管理者資格証明を使用します。

次の例で使用しているWAS_HOMEは/opt/IBM/WebSphere/AppServerです。

1. ノードを停止します。
例:

WAS_HOME/profiles/Custom01/bin/stopNode.sh -user admin_user -password admin_password

2. デプロイメント・マネージャを停止します。
例:

WAS_HOME/profiles/Dmgr01/bin/stopManager.sh -user admin_user -password admin_password

3. デプロイメント・マネージャを起動します。
例:

WAS_HOME/profiles/Dmgr01/bin/startManager.sh

4. ノードを同期化します。
例:

WAS_HOME/profiles/Custom01/bin/syncNode.sh localhost 8879 -user admin_user -password admin_password

5. ノードを起動します。
例:

WAS_HOME/profiles/Custom01/bin/startNode.sh

6. OAAMサーバーを再起動します。
例:

WAS_HOME/profiles/Custom01/bin/startServer.sh oaam_admin_server

WAS_HOME/profiles/Custom01/bin/startServer.sh oaam_server_server

注意:

サーバーの再起動後にIBM WebSphere管理コンソールにログインするには、opss.configIdentityStore()コマンドに入力して指定されたプロパティ・ファイル内で指定されたユーザーIDとパスワードを使用します。

8.4.6 OAAM管理コンソールを使用したSAML構成関連サーバー・プロパティのインポート

SAML構成関連プロパティをインポートして、OAAMデータベースに追加されるようにします。

SAML構成関連プロパティをインポートするには、次の手順を実行します。

1. EnvAdminGroupロールが割り当てられている管理者としてOAAM管理コンソールにログインします。例:

http://oaam_managed_server_host:oaam_admin_managed_server_port/oaam_admin

2. ナビゲーション・ペインで、「環境」ノードの下の「プロパティ」をクリックします。

3. 「プロパティ」ページで「プロパティのインポート」をクリックして、統合用にサーバー・プロパティをインポートします。

4. IDM_ORACLE_HOME/oaam/initディレクトリで「saml_properties.zip」を参照し、「オープン」をクリックし、「インポート」をクリックします。
インポートが完了すると、プロパティが正常にインポートされたことが表示されます。

5. 「完了」をクリックして、インポートを完了します。
これによって、統合に必要なプロパティがインポートされます。第8.4.8項「OAAM管理コンソールを使用した統合プロパティの変更」で、使用環境に応じてこれらのプロパティを変更します。

8.4.7 アサーションの署名に対する証明書の設定

認証局(CA)は、サード・パーティやその他のエンティティ(ユーザー、データベース、管理者、クライアント、サーバーなど)のアイデンティティを証明する信頼できる第三者機関です。認証局は、当事者の識別情報を検証し、秘密鍵で署名された証明書を付与します。

Juniper SAとOAAM間で信頼の証明書を設定するには、以降の各項に説明する手順を実行します。

- 証明書の秘密鍵の作成

- 証明書要求の作成

- 独自の認証局としての行動

- 証明書を自分のキーストアにインポート

8.4.7.1 証明書の秘密鍵の作成

最初に、証明書の秘密鍵を作成します。この秘密鍵を作成するには、次の手順を実行します。

1. 作業ディレクトリをセキュリティ・プロパティ・ディレクトリに変更します。

WAS_HOME/java/jre/lib/security

ここでは、WAS_HOMEはAppServerディレクトリを指し示します。

WAS_HOME=/opt/IBM/WebSphere/AppServer

2. keytoolというキーおよび証明書管理ユーティリティを使用して、秘密鍵を作成します。cacertsをキーストアとして使用して、次のコマンドを入力します。

WAS_HOME/java/jre/bin/keytool -genkey -keyalg rsa -validity 1825 -keysize 2048 -alias OAAMCert -keystore cacerts -storepass changeit

3. 証明書の詳細を入力します。
出力の例は次のとおりです。

What is your first and last name?
[Unknown]:  ag-oracle-oaam
What is the name of your organizational unit?
[Unknown]: Juniper
What is the name of your organization?
[Unknown]: Juniper
What is the name of your City or Locality?
[Unknown]:  Sunnyvale
What is the name of your State or Province?
[Unknown]:  CA
What is the two-letter country code for this unit?
[Unknown]:  US
Is CN=ag-oracle-oaam, OU=Juniper, O=Juniper, L=Sunnyvale, ST=CA, C=US correct?
[no]:  yes

注意:

通常、証明書のCNはマシンの名前です。

4. プロンプトが表示されたら、キーストアのパスワードを入力します。

Enter key password for <OAAMCert>
(RETURN if same as keystore password):
Re-enter new password:

このパスワードは、統合用にあとで必要になるので覚えておいてください。

8.4.7.2 証明書リクエストの作成

秘密鍵と自己署名証明書を作成した後で、keytoolコマンドを使用して証明書署名リクエスト(CSR)を生成します。

1. 作業ディレクトリをセキュリティ・プロパティ・ディレクトリに変更します。

WAS_HOME/java/jre/lib/security

ここでは、WAS_HOMEはAppServerディレクトリを指し示します。

WAS_HOME=/opt/IBM/WebSphere/AppServer

2. 次のコマンドを実行して、証明書リクエストを作成します。

WAS_HOME/java/jre/bin/keytool -certreq -alias OAAMCert -file server.csr -keystore cacerts -storepass changeit

この例では、server.csrというファイルに証明書リクエストを作成しました。

このファイルは、WAS_HOME/java/jre/lib/securityディレクトリに置かれています。

3. server.csrファイルを/etc/pki_jungle/myCAディレクトリにコピーします。

cp WAS_HOME/java/jre/lib/security/server.csr /etc/pki_jungle/myCA/

8.4.7.3 証明書署名リクエスト(CSR)の認証局への送信

証明書署名リクエスト(CSR)を認証局に送信して、デジタル証明書を取得します。認証局から証明書が発行されます。発行された証明書と、リクエストに署名したルートCA証明書を受信する必要があります。

テストとして、独自の認証局として行動して証明書に署名することができます。本番シナリオでは、認証局からの証明書を使用する必要があります。

本番シナリオでは、第8.4.7.4項「独自の認証局として行動」をスキップして、第8.4.7.5項「自分のキーストアに証明書をインポート」に進み、外部認証局から証明書をインポートできます。

8.4.7.4 独自の認証局としての行動

テストの目的で、独自の認証局として行動して証明書に自己署名することができます。次の手順を1つずつ実行して、証明書の自己署名を設定します。この設定を行うには、後続の例に従って実行します。

8.4.7.4.1 前提条件

証明書の管理、または証明書リクエストの作成に使用するマシンに、パッケージOpenSSLをインストールする必要があります。OpenSSLは、SSL (Secure Sockets Layer)プロトコルのオープン・ソースの実装です。OpenSSLは基本的な暗号機能を実装し、ユーティリティ関数を提供します。

8.4.7.4.2 必要なディレクトリの作成

必要なディレクトリを作成するには、次の手順を実行します。

1. すべての証明書ファイルが保持されるディレクトリを作成します。デフォルトのディレクトリは/etc/pki/tls/です。ルートとして次のコマンドを発行し、専用のディレクトリを作成します。

# mkdir -m 0755 /etc/pki_jungle

2. 次のコマンドを発行して、認証局のディレクトリを作成します。

# mkdir -m 0755 \
/etc/pki_jungle/myCA \
/etc/pki_jungle/myCA/private \
/etc/pki_jungle/myCA/certs \
/etc/pki_jungle/myCA/newcerts \
/etc/pki_jungle/myCA/crl

説明:

- myCAは、自分の認証局のディレクトリです。

- myCA/privateは、秘密鍵が配置されるディレクトリです。すべての秘密鍵に制限的な権限を設定して、ルートのみ、またはサーバー実行の権限を持つユーザーのみが秘密鍵を読み込めるようにします。認証局の秘密鍵が盗まれると、最悪の結果が生じる可能性があります。

- myCA/certsディレクトリは、サーバー証明書が配置される場所です。

- myCA/newcertsディレクトリは、OpenSSLがPEM(暗号化されていない)フォーマットおよびcert_serial_number.pemフォーム(07.pemなど)で作成された証明書を入れる場所です。OpenSSLにはこのディレクトリが必要なため、必ず作成してください。

- myCA/crlは、証明書取消リストが配置される場所です。

8.4.7.4.3 初期OpenSSL構成

1. デフォルトのOpenSSL構成ファイル(openssl.cnf)を/etc/pki/tlsから自分の認証局のディレクトリにコピーして、それにopenssl.my.cnfという名前を付けるには、ルートとして次のコマンドを発行します。

# cp /etc/pki/tls/openssl.cnf /etc/pki_jungle/myCA/openssl.my.cnf

2. このファイルはすべてのユーザーにとって読取り可能である必要がないため、次のコマンドを発行してその属性を変更できます。

# chmod 0600 /etc/pki_jungle/myCA/openssl.my.cnf

3. 次のコマンドを発行して、OpenSSLのデータベースとして使用できるファイルを作成します。

# touch /etc/pki_jungle/myCA/index.txt

4. 次のコマンドを発行して、次の証明書のシリアル番号を持つファイルを作成します。

# echo '01' > /etc/pki_jungle/myCA/serial

証明書をまだ作成していないため、それを「01」に設定します。

8.4.7.4.4 CA証明書と秘密鍵の作成

初期構成の完了後に、他の証明書リクエストや秘密鍵に署名するために自分の認証局の証明書として使用できる自己署名証明書を生成できるようになります。

1. 自分の認証局のディレクトリに変更します。
ルートとしてOpenSSLコマンドを発行します。

# cd  /etc/pki_jungle/myCA/

これはOpenSSLの構成ファイル(openssl.my.cnf)の保存場所であるため、この場所ですべてのOpenSSLコマンドを発行する必要があります。

2. 次に、自分の認証局の証明書と秘密鍵を作成します。ルートとして次のコマンドを発行します。

# openssl req -config openssl.my.cnf -new -x509 -extensions v3_ca -keyout private/myca.key -out certs/myca.crt -days 1825

これによって、5年間有効なデフォルトのCA拡張を持つ自己署名証明書が作成されます。

3. 自分の認証局の秘密鍵に対してパスフレーズの入力を促すプロンプトが表示されたら、厳密なパスフレーズを設定します。

4. プロンプトが表示されたら、証明書リクエストに組み込まれる情報を指定します。認証局に関する情報は、次に示す例に類似しています。

Country Name (2 letter code) [GB]:GR
State or Province Name (full name) [Berkshire]:Greece
Locality Name (eg, city) [Newbury]:Thessaloniki
Organization Name (eg, company) [My Company Ltd]:My Network
Organizational Unit Name (eg, section) []:My Certificate Authority
Common Name (eg, your name or your server's hostname)
[]:server.example.com
Email Address []:whatever@server.example.com

次の2つのファイルが作成されます。

certs/myca.crt: これは自分の認証局の証明書であり、パブリックに使用可能で、すべてのユーザーが読取り可能なファイルです。

private/myca.key: これは自分の認証局の秘密鍵です。これはパスフレーズで保護されていますが、ルートのみが読み取れるようにアクセスを制限する必要があります。

5. 自分の認証局の秘密鍵はパスフレーズで保護されていますが、ルートのみが読み取れるようにアクセスを制限する必要があります。これを実行するには、次のコマンドを発行します。

# chmod 0400 /etc/pki_jungle/myCA/private/myca.key

8.4.7.4.5 追加のOpenSSL構成(必須)

証明書の管理にカスタム・ディレクトリを使用しているため、/etc/pki_jungle/myCA/openssl.my.cnfを変更する必要があります。

1. テキスト・エディタでルートとしてopenssl.my.cnfを開き、次のセクション(35行目あたり)を検索します。

_________________________________________________________
[ CA_default ]
dir                  = ../../CA               # Where everything is kept
certs                = $dir/certs             # Where the issued certs are kept
crl_dir              = $dir/crl               # Where the issued crl are kept
database             = $dir/index.txt         # database index file.
#unique_subject = no                          # Set to 'no' to allow creation of
# several certificates with same subject.
new_certs_dir       = $dir/newcerts           # default place for new certs.
certificate         = $dir/cacert.pem         # The CA certificate
serial              = $dir/serial             # The current serial number
#crlnumber          = $dir/crlnumber          # the current crl number must be
# commented out to leave a V1 CRL
crl                 = $dir/crl.pem            # The current CRL
private_key         = $dir/private/cakey.pem  # The private key
RANDFILE            = $dir/private/.rand      # private random number file
x509_extensions = usr_cert                    # The extentions to add to the cert

2. カスタム・ディレクトリ、カスタム認証局キー(秘密鍵)、および証明書に適合するようにパス値を変更し、変更内容を保存します。

__________________________________________________________
[ CA_default ]
dir     = .                                # <--CHANGE THIS
certs           = $dir/certs
crl_dir         = $dir/crl
database        = $dir/index.txt
#unique_subject = no
new_certs_dir   = $dir/newcerts
certificate     = $dir/certs/myca.crt      # <--CHANGE THIS
serial          = $dir/serial
#crlnumber      = $dir/crlnumber
crl             = $dir/crl.pem
private_key     = $dir/private/myca.key    # <--CHANGE THIS
RANDFILE        = $dir/private/.rand
x509_extensions = usr_cert
_____________________________________________________________

8.4.7.4.6 証明書リクエストの署名

次に、証明書リクエストに署名し、サーバーの証明書を生成します。これを行うには、次の手順を実行します。

1. まず、次のコマンドを発行して、server.csr(第8.4.7.2項「証明書リクエストの作成」で作成)を自分の認証局のディレクトリにコピーします。

# cp WAS_HOME/java/jre/lib/security/server.csr /etc/pki_jungle/myCA/

2. 次のコマンドを発行して、自分の認証局のディレクトリに変更します。

# cd /etc/pki_jungle/myCA/

3. さらに、次のコマンドを発行して、証明書リクエストに署名します。

# openssl ca -config openssl.my.cnf -policy policy_anything -out certs/server.crt -infiles server.csr

4. リクエストに署名するために、認証局の秘密鍵を指定します。openssl.my.cnfファイルでpolicy_anythingの意味を確認できます。要するに、Country、StateまたはCityに関するフィールドは、自分の認証局の証明書と一致している必要がありません。
これらの手順が完了すると、次の2つのファイルが新規に作成されます。

- certs/server.crt
これはサーバーの証明書であり、パブリックに使用可能にすることができます。

- newcerts/01.pem
これは同じ証明書ですが、ファイル名として証明書のシリアル番号が使われています。これは必要ありません。

5. これで証明書リクエスト(server.csr)は不要になったため、これを削除します。

8.4.7.5 証明書を自分のキーストアにインポート

SSL VPNは、このサーバー証明書の公開鍵をインポートして、OAAMから送信されたメッセージを復号化する必要があります。

ルートCA証明書をインポートした後で、認証局により発行された証明書をインポートする必要があります。ルート証明書の名前はmyca.crtであり、発行された証明書の名前はserver.crtです。

証明書をキーストアにインポートするには、次の手順を実行します。

1. 作業ディレクトリをこのディレクトリに変更します。

WAS_HOME/java/jre/lib/security

ここでは、WAS_HOMEはAppServerディレクトリを指し示します。

WAS_HOME=/opt/IBM/WebSphere/AppServer

2. /etc/pki_jungle/myCA/certs/myca.crt and /etc/pki_jungle/myCA/certs/server.crtをWAS_HOME/java/jre/lib/securityディレクトリにコピーします。

3. 次のkeytoolコマンドを使用して、ルート証明書をキーストアにインポートします。

WAS_HOME/java/jre/bin/keytool -importcert -alias rootCA -file myca.crt -keystore cacerts -storepass changeit

前述の構文の各要素は次のとおりです。

- aliasは、ルートCA証明書の別名を表します。

- rootCA -fileは、ルートCA証明書が含まれているファイルの名前を表します。

- keystoreは、キーストアの名前を表します。

4. テキスト・エディタでserver.crtを開き、BEGIN CERTIFICATEタグとEND CERTIFICATEタグの間のコンテンツ以外のすべてを削除します。

5. 次のkeytoolコマンドを使用して、発行された証明書をキーストアにインポートします。

WAS_HOME/java/jre/bin/keytool -importcert -alias OAAMCert -file server.crt -keystore cacerts -storepass changeit

前述の構文の各要素は次のとおりです。

- aliasは証明書の別名を表します。これは、第8.4.7.1項「証明書の秘密鍵の作成」で割り当てられた秘密鍵の別名と同じである必要があります。

- server.crtは、証明書が含まれているファイルの名前を表します。

- keystoreは、キーストアの名前を表します。

6. <OAAMCert>に対するキー・パスワードを入力します。
証明書の返信はキーストアにインストールされています。

注意:

別名がリクエスト作成時に使用したものと同じであることを確認します。

8.4.8 OAAM管理コンソールを使用した統合プロパティの変更

統合の確立に必要なSAML構成プロパティを定義するには、次の手順を実行します。

1. OAAM管理コンソールにログインします。

http://oaam_managed_server_host:oaam_admin_managed_server_port/oaam_admin

2. 「プロパティ」をダブルクリックして、プロパティ・ページを開きます。

3. 「名前」フィールドに「oracle.saml*」と入力し、「検索」をクリックして統合プロパティを検索します。

4. 「検索結果」で、変更するプロパティをクリックします。

5. 「プロパティ」タブでプロパティの値を変更して、「保存」をクリックします。

統合の一環としてインポートされた、変更の必要のあるプロパティが表8-5「SAML統合プロパティ」に表示されます。

表8-5 SAML統合プロパティ

プロパティ

説明

oracle.saml.integration.version

統合に使用されるSAMLバージョン

使用可能な値は1.1および2.0です。

デフォルト値は1.1です。

Juniper SAでもSAML2.0をサポートしています。

使用するSAMLのバージョンを決定する必要があります。

oracle.saml.target.default.url

SAMLアサーションが成功したことをJuniper SAで検証された後にユーザーが移動するターゲットURL(ホームページ)

例: https://ag-oracle-oaam.juniperlabs.local/

oracle.saml.keystore

アサーションの署名に必要な証明書を格納するためのキーストアのフルパス。この例では、次のようになります。

<MW_HOME>/jdk160_18/jre/lib/security/cacerts

oracle.saml.keystore.password

キーストアのパスワード

oracle.saml.keystore.certalias

アサーションに使用する証明書の別名

oracle.saml.keystore.privatekeypassword

秘密鍵のパスワード

oracle.saml.redirect.post.url

SAMLアサーションがポストされるURL

例: https://ag-oracle-oaam.juniperlabs.local/dana-na/auth/saml-consumer.cgi

oracle.saml.set.attributes

アサーションの一環として追加の属性をJuniper SAに送信する必要があるかどうかを指定します。

指定可能な値はfalseまたはtrueです。

デフォルト値はfalseです。

oracle.saml.user.attributes

アサーションの一環として追加する必要のある属性のリスト

このプロパティは、oracle.saml.set.attributeがtrueに設定されている場合のみ使用されます。

oracle.saml.attribute.namespace

アサーションに使用するネームスペースの名前。デフォルト値はJuniperNSです。

SAML1.1の場合のみ。

oracle.saml.nameidformat

SAMLアサーションで使用するnameidフォーマット

デフォルト値はX509SubjectNameです。

oracle.saml.nameidattribute

SAMLアサーションでユーザーを識別するNameID属性

デフォルト値はdistinguishedNameです。

nameidフォーマットがX509SubjectNameに設定されている場合、これはdistinguishedNameである必要があります。

oracle.saml.issuer.url

SAMLの発行者のURL

これは、OAAM認証サーバーが実行しているマシンです。

例: http://abcdefgh.example.com:14300

oracle.oaam.juniper.intg.jps.context

オプション

使用されるコンテキスト名。デフォルトは(idcontext)です。

8.4.9 Juniper Networks Secure Access (SA)の構成

この統合用にJuniperを構成するには、次の処理を行う必要があります。

- SAML 1.1認証サーバーの作成

- SAMLのユーザー・レルムの作成

- サインイン・ポリシーの作成

Juniper SA構成の詳細は、次のサイトで入手可能な『Juniper Networks Secure Access管理ガイド』を参照してください。

http://www.juniper.net/techpubs

8.4.9.1 SAML 1.1認証サーバーの作成

Juniper SAに認証サーバーを作成する必要があります。これを行うには、次の手順を実行します。

1. Juniper SSL VPN管理コンソールにログインします。

2. Juniper管理コンソールの左ペインで「Authentication」メニューを開き、「Auth.Servers」をクリックします。

3. 「New」ドロップダウン・リストから「SAML Server」を選択し、「New Server」をクリックします。

4. 表8-6の値を使用して、認証サーバーを定義します。

表8-6 認証サーバーの作成

パラメータ

詳細

値

Server Name

SAMLServerの名前

OAAM SAML 1.1

表示されている値と同じものを入力します。

SAML Version

認証サーバーのSAMLバージョン

1.1

表示されている値と同じものを入力します。

Source Site Inter-Site Transfer Service URL

OAAMサーバーのエントリURL。これは、認証のためにユーザーがリダイレクトされる場所です。

例: @ https://ag-oracleoaam.acmegizmo.com:14301/oaam_server/juniperLoginPage.jsp

環境に応じて、ホストとポートを指定してください。

User Name Template

認証されたユーザーを識別する、値の抽出に使用されるテンプレート

<assertionNameDN.cn>

表示されている値と同じものを入力します。また、'<'および'>'を最初と最後に保持しておく必要もあります。

Allowed Clock Skew (minutes)

アサーションに許容されるクロックの偏り。

30

表示されている値と同じものを入力します。

SSO Method

SAMLに使用するSSOメソッド

Post

Response Signing Certificate

レスポンスの署名に使用される証明書。

これは、認証局から取得した証明書です。第8.4.7.5項「自分のキーストアへの証明書のインポート」で、同じ証明書をキーストアにインポートしています。

5. サーバー証明書(たとえば、第8.4.7.4.6項「証明書リクエストの署名」で作成したserver.crt)をインポートします。

6. 「Save Changes」をクリックして、変更を保存します。

8.4.9.2 SAMLのユーザー・レルムの作成

認証レルムでは、サインインするためにユーザーが満たす必要のある条件が指定されます。レルムは、認証リソースのグループで構成されます。

SAMLのユーザー・レルムを作成するには、次の手順を実行します。

1. Juniper管理コンソールの左ペインで「Users」メニューを開き、「User Realms」をポイントして「New User Realm」をクリックします。

2. 名前を「OAAM SAML 1.1 User Realm」と指定します。

3. 前の手順でこのユーザー・レルムの認証サーバーとして作成された認証サーバー「OAAM SAML 1.1」を選択します。

4. 変更を保存します。
新規に作成されたユーザー・レルムが表示されます。

5. Juniper管理コンソールの左ペインで「Users」メニューを開き、「User Realms」をポイントして「OAAM SAML 1.1 User Realm」をクリックします。

6. OAAM SAML 1.1. User Realmで「Role Mapping」タブをクリックして、1つ以上のロール・マッピング・ルールを構成します。

8.4.9.3 サインイン・ポリシーの作成

Juniper SAで、認証のためにOAAMにリダイレクトされるのに必要なURLを定義するサインイン・ポリシーを作成します。

1. サインイン・ポリシーを作成するには、Juniper管理コンソールで「Authentication」メニューを開き、「Signing In」をポイントして「Sign-in Policies」をクリックします。

2. 「New URL」をクリックし、表示された「Sign-in URL」フィールドで、URLとして「*/OAAM11/」と入力します。

3. 「Sign-in」ページで、「Default Sign-in Page」を選択します。

4. 認証レルムに対して、前に作成した「OAAM SAML 1.1 User Realm」を選択します。「User picks from a list of authentication realms」ラジオ・ボタンが選択されていることを確認します。

5. 「Save Changes」をクリックして、それが有効になっていることを確認します。

8.4.10 統合の検証

必要なコンポーネントをすべて構成した後で、次の手順としてログイン・フローとパスワードを忘れた場合のフローをテストします。ログイン・フローおよびパスワードを忘れた場合のフローの詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』の認証フローおよびパスワードを忘れた場合のフローに関する項を参照してください。統合の検証ステップについては、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』の統合の検証に関する項を参照してください。

8.4.11 統合のデバッグ

OAAM側で統合をデバッグするには、デバッグ・ログを有効にします。ログ・ファイルの使用方法の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』の統合のデバッグに関する項を参照してください。また、Oracle Fusion MiddlewareをIBM WebSphereセルとOracle WebLogic Serverドメインで管理する場合の相違については、第3.1.2.8項「IBM WebSphereでFusion Middleware Controlを使用する場合の相違」を参照してください。

8.4.12 一般的な問題のトラブルシューティング

Oracle Adaptive Access ManageとJuniper Networks Secure Access (SA)との統合環境で生じる可能性のある一般的な問題の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』の一般的な問題のトラブルシューティングに関する項を参照してください。

無効なSAMLアサーションに関する問題については、次の場所でJuniper Knowledge Baseを参照できます。

https://kb.juniper.net/InfoCenter/index?page=content&id=KB21687&cat=MAG_SERIES&actp=LIST

クロックを同期化するには、Juniper管理コンソールから「System」→「Status」→「Overview」→「System Date and Time Edit」の順に移動します。

また、Oracle Fusion MiddlewareをIBM WebSphereセルとOracle WebLogic Serverドメインで管理する場合の相違については、第3.1.2.8項「IBM WebSphereでFusion Middleware Controlを使用する場合の相違」を参照してください。

8.5 非同期実行のためのOAAMとJava Message Service Queueの統合

メッセージングとは、異なるタイプのアプリケーションとクライアントの間でデータを交換することです。OAAMでは、統合メカニズムの1つとしてJMS (Java Message Service)キューを使用します。OAAMは、1つ以上のJMSキューでXMLメッセージをリスニングします。Java Message Service Queue (JMSQ)とOAAMの統合により、非同期実行を有効化して、システムやデータベースに格納されている重要で機密性の高いデータへの未認可アクセスを監視および検出することができます。

この項では、IBM WebSphereアプリケーション・サーバーでの非同期デプロイメントに必要な構成および参照情報について説明します。

8.5.1 非同期統合オプションのインストール

この項では、OAAMで使用するための非同期統合オプションのインストール手順について説明します。

8.5.1.1 開始する前に

非同期統合オプションをインストールする前に、次の前提条件が満たされていることを確認します。

- Oracle Adaptive Access Manager 11gがインストールされ、構成済であることを確認します。非同期統合オプションは、Oracle Adaptive Access Manager 11g上にインストールされます。

- Oracle Business Intelligence Publisherがインストールされ、構成済であることを確認した後で、レポート・テンプレートのインストールを実行します。非同期統合オプションには、Oracle Business Intelligence Publisherのレポート・テンプレートとして様々なレポートが含まれています。

8.5.1.2 非同期統合オプション・パッケージの抽出

非同期統合オプションにはインストーラは必要ありません。非同期統合オプションをインストールするには、osg_integration_kit.zipファイルを解凍するための解凍ツールが必要です。

1. 次のディレクトリを、Oracle Adaptive Access Manager 11gがインストールされているマシンに作成します。

- osg_install

- osg_install/osg_integration_kit

2. osg_integration_kit.zipファイルのコンテンツをosg_install/osg_integration_kitディレクトリに抽出します。

8.5.1.3 JMSリソース

OAAMでは、統合メカニズムの1つとしてJMS (Java Message Service)キューを使用します。OAAMは、1つ以上のJMSキューでXMLメッセージをリスニングします。XMLメッセージの書式の詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』のメッセージの書式のXMLスキーマ例に関する項を参照してください。

IBM WebSphereデプロイメントでは、OAAMはメッセージドリブンBeanを使用してJMSメッセージをリスニングします。メッセージドリブンBeanは、Java EEアプリケーションでメッセージを非同期に処理できるエンタープライズBeanです。メッセージドリブンBeanの定義は、osg_ejb_was.jarファイルにあります。デフォルトでは、これは、IBM WebSphereでJNDI名、eis/oaamDefault_Act_Specおよびeis/oaamHL7_Act_Specを持つJMSアクティブ化仕様を検索するように構成されています。OAAMは、この2つのJMSアクティブ化仕様に関連付けられているIBM WebSphere上のJMSキューに送信されたJMSメッセージをリスニングします。この構成を確認し、デプロイメントでの必要に応じて更新します。この項では、IBM WebSphereでJMSリソースを構成する基本例を示します。

次に、eis_oaamDefault_Act_Spec仕様のアクティブ化に対する構成例を示します。

1. IBM WebSphere管理コンソールにログインし、「Service Integration」→「Buses」と選択して、「oaamBus」という名前のバスを作成します。

2. oaamBusの「Members」で「add」をクリックして、「oaam_server1」をバス・メンバーとして追加します。

3. oaamBusの「Destinations」で、「oaamDefaultDestination」という名前の新しい「Queue」を追加します。

4. 「Resources」→「JMS」→「Queue connection factories」の順に移動して、「oaamQueueConnFactory」という名前のキュー・コネクション・ファクトリを作成します。プロバイダは「Default Messaging Provider」でも構いませんが、スコープには「oaam_server1」を指定する必要があります。

5. 「Resources」→「JMS」→「Queues」の順に移動して、「oaam_server1」のスコープを選択し、「oaamDefaultQueue」という名前のキューを作成し、「jms/oaamDefaultQueue」をJNDI名として指定し、さらに「Default Messaging Provider」をプロバイダとして指定します。

6. 「Resources」→「JMS」→「Activation specifications」の順に移動して、次のプロパティが指定されている「oaamDefaultActSpec」という名前のアクティブ化仕様を作成します。
Scope: oaam_server1

Provider: Default Messaging Provider

JNDI: eis_oaamDefault_Act_Spec

Destination Type: Queue

Bus name: oaamBus

Target Inbound Transport Chain: InboundBasicMessaging

Provider Endpoints: host:port:BootStrapBasicMessaging (この場合のポートは、oaam_serverアプリケーション・サーバーのSIB_ENDPOINT_ADDRESSポートである必要があります)

この項では、OAAMが必要とする基本的なJMSリソースの作成方法について説明します。eis/oaamHL7_Act_Spec仕様のアクティブ化に対しても、同様のアーティファクトを作成する必要があります。特定の要件に対応するには、JMSに対するJMSリソースの作成に関してIBMのドキュメントに従ってください。JMSアクティブ化仕様、JMSキュー、およびJMSキュー・コネクション・ファクトリを含むJMSリソースのIBM WebSphere管理コンソールでの作成に関するIBMドキュメントは、次の場所で参照できます。

http://publib.boulder.ibm.com/infocenter/iisinfsv/v8r1/index.jsp?topic=/com.ibm.swg.im.iis.infoservdir.user.doc/topics/t_isd_user_setting_up_jms_in_was.html

8.5.1.4 非同期統合拡張ファイルのデプロイ

非同期統合機能の大半はOAAM拡張機能として実装されています。次の手順に従って、非同期統合オプション・パッケージに含まれている拡張ファイルをデプロイします。

1. IBM WebSphere管理コンソールにログインします。

2. 「Applications」→「Application Types」→「WebSphere Enterprise Applications」の順にクリックします。

3. 「oaam_server」アプリケーションの横のチェック・ボックスを選択して、「Update」をクリックします。

4. 「Application update options」で、「Replace, add, or delete multiple files」オプションを選択し、「osg_oaam_extension_was.zip」を選択して、これをアプリケーションに追加します。これで、ほとんどの拡張ファイルがOAAMサーバー・アプリケーションに移行します。

5. 第8.5.1.3項「JMSリソース」に示したJMSリソースがIBM WebSphereに適切に構成されていることを確認します。OAAMは、JNDI名のeis/oaamDefault_Act_Specおよびeis/oaamHL7_Act_Specを持つIBM WebSphere JMSアクティブ化仕様を使用するように構成されています。JMSキュー、JMSキュー・コネクション・ファクトリ、サーバー統合バスも、第8.5.1.3項「JMSリソース」で説明するように、ターゲットのJMSアクティブ化仕様を指定してIBM WebSphereに適切に構成する必要があります。

6. 同様に、ステップ1 - 3を実行し、さらに「Application update options」で「Replace or add a single module」オプションを選択し、「osg_ejb_was.jar」を選択して、これをアプリケーションに追加します。「oaam_server1」が選択されていて、サーバーへのモジュールのマップの手順でこのモジュールにマップされていることを確認します。

7. ノードを同期化し、OAAMサーバーのアプリケーション・サーバーを再起動します。

8.5.1.5 OAAMデータベースの更新

OAAMでは、ルール条件とレポートで使用するために、エンティティおよびトランザクションのデータベース・ビューが作成されます。これらのデータベース・ビューの詳細は、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。

8.5.2 JMS統合

JMSリスナーを実装することにより、XML形式のメッセージに関してJMSキュー(またはトピック)をリスニングするようにOracle Adaptive Access Managerを構成できます。JMSメッセージのコンテンツは、OAAMのWeb Services APIコールと類似しています。次に、サンプルのJMSメッセージの書式を示します。

- VCryptTracker.updateLog

- VCryptTracker.createTransaction

- VCryptTracker.updateEntity

- VCryptRulesEngine.processRules

OAAMでのJMS統合の概要とサンプルXMLについては、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。

8.5.2.1 構成

JMS統合の様々な要素は、OAAMのプロパティとユーザー定義列挙を使用して構成できます。

統合に使用されるJMS構成プロパティのリストは、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。次のプロパティは、IBM WebSphereのデプロイメントには関連していません。

- oracle.oaam.jms.listeners.default.initial.context.factory

- oracle.oaam.jms.listeners.default.connection.factory

- oracle.oaam.jms.listeners.enum.lsnr_1

- oracle.oaam.jms.listeners.enum. lsnr_1.type

- oracle.oaam.jms.listeners.enum. lsnr_1.url

- oracle.oaam.jms.listeners.enum. lsnr_1.jndiname

- oracle.oaam.jms.listeners.enum.lsnr_1.initial.context.factory

- oracle.oaam.jms.listeners.enum.lsnr_1.connection.factory

- oracle.oaam.jms.listeners.enum. lsnr_1.processor

- oracle.oaam.jms.listeners.enum. lsnr_1.instancecount

監視するキュー(またはトピック)ごとに、ユーザー定義列挙oracle.oaam.jms.listeners.enumに列挙要素を追加して、1つのリスナーを構成する必要があります。リスナー・リストまたはプロパティを変更する場合は、リスナーが実行しているOAAMサーバーを再起動する必要があります。

8.5.2.2 メッセージ構造

OAAMのデフォルトのJMSメッセージ・プロセッサでは、タイプjavax.jms.TextMessageのみが処理されます。このプロセッサでは、その他のタイプのメッセージは無視されます。他のタイプのメッセージを処理するには、oracle.oaam.jms.JmsAbstractMessageProcessorまたはoracle.oaam.jms.JmsDefaultMessageProcessorのいずれかを拡張してカスタム・プロセッサを実装します。標準のメッセージドリブンBeanクラスを開発し、それをosg_ejb_was.jar/META-INF/ibm-ejb-jar-bnd.xmiにあるIBM WebSphere JMSアクティブ化仕様と関連付けます。参照をosg_ejb_was.jar内のJMSアクティブ化仕様に追加した後で、第8.5.1.4項「非同期統合拡張ファイルのデプロイ」の説明に従って、jarファイルをOAAMサーバーのアプリケーションに再デプロイする必要があります。

さらに、TextMessageのコンテキストが、この項の末尾に示すXMLスキーマに準拠したXML文字列であるかぎり、デフォルトのJMSメッセージ・プロセッサによる処理が行われます。

8.5.3 エンティティおよびトランザクションのデータベース・ビュー

Oracle Adaptive Access Managerでは、エンティティとトランザクションをデータ・フィールド数の制限なしに定義できます。さらに、トランザクションはエンティティを参照するように定義することもできます。Oracle Adaptive Access Managerでは、エンティティ・データとトランザクション・データがデータベースに永続化されます。

次のトピックについては、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。

- SQLスクリプト・ファイルの生成

- エンティティ・ビューの詳細

- トランザクション・ビューの詳細

- 識別子

- サポートされるデータベース

8.5.4 Python式

非同期統合オプション・パッケージには、指定されたPython式を実行するOAAM条件が含まれています。この条件は、osg_install/osg_integration_kit/osg_rule_conditions.zipからインポートできます。

8.5.4.1 前提条件

Python式を実行するには、jython.jarライブラリが必要です。jython.jarの場所は次のとおりです。

ORACLE_MW_HOME/ oracle_common/modules/oracle.jrf_11.1.1/jython.jar

次の手順を実行して、jython.jarをOAAMサーバー・アプリケーションの共有ライブラリとして追加します。

1. IBM WebSphere管理コンソールにログインします。

2. 「Environment」→「Shared libraries」→「New」の順にクリックします。

3. このjarに名前を指定し、jython.jarへのパスを指定します。

4. 変更を適用します。

5. 「Applications」→「Application Types」→「WebSphere Enterprise Applications」→「oaam_server_11.1.2.0.0」の順に移動します。

6. OAAMサーバー・アプリケーションの詳細で、「Configuration」タブから「References」セクションに移動し、「shared library references」をクリックし、「OAAM_Runtime」を選択して「Reference Shared libraries」をクリックします。

7. jythonライブラリを選択したリストに移動して、変更を適用します。

8. ノードを同期化し、OAAMサーバーのアプリケーション・サーバーを再起動します。

8.5.4.2 Pythonで使用可能なオブジェクト

Python式からアクセス可能なオブジェクト(変数)のリストは、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。

8.5.4.3 例

Python式の条件で使用可能な式のリストは、『Oracle Fusion Middleware Oracle Adaptive Access Manager開発者ガイド』を参照してください。

8.6 OAAMサンプル・アプリケーションの設定

OAAMサンプル・アプリケーションは、OAAM APIの理解を深められるようにドキュメントの形式で用意されています。これは、API使用方法の基本的な要素のみを提供しているため、本番コードとしての使用を対象としていません。ネイティブ統合を実装しているカスタマは、サンプル・アプリケーションを参照用として使用し、独自のアプリケーションを開発する必要があります。OAAMサンプル・アプリケーションと関連ファイルは、My Oracle Support (https://support.oracle.com)からダウンロードできます。

8.6.1 ネイティブIn-ProcベースのOAAMサンプル・アプリケーションの設定

この項では、ネイティブIn-ProcベースのOAAMサンプル・アプリケーションの設定方法について説明します。

ネイティブIn-ProcベースのOAAMサンプル・アプリケーションを設定するには:

1. oaam_sampleディレクトリを作成します。

2. oaam_sample_inproc.zipファイルをoaam_sampleディレクトリに抽出します。

3. oaam_sample/WEB-INFディレクトリにあるweb.xmlファイルをテキスト・エディタでオープンし、</web-app>タグの上の最後のセクションとして次の行を追加します。

<resource-ref>
<res-ref-name>jdbc/OAAM_SERVER_DB_DS</res-ref-name>
<res-type>javax.sql.DataSource</res-type>
<res-auth>Container</res-auth>
<resource-ref>

4. oaam_sampleディレクトリに移動し、次のコマンドを実行して、IBM WebSphere管理コンソール用にOAAMサンプルWARファイルを作成します。

jar cfm ../oaam_sample_inproc_was.war META-INF/MANIFEST.MF .

このコマンドを実行すると、oaam_sample_inproc_was.warファイルが生成されるので、このファイルをIBM WebSphere管理コンソールにインストールします。

5. IBM WebSphere管理コンソールにログインし、コンソール・ナビゲーション・ツリーで「Applications」を開き、さらに「Application Types」を開いて「WebSphere enterprise applications」をクリックし、アプリケーションのリストをオープンします。

6. 「oaam_server_11.1.2.0.0」アプリケーションの横のチェック・ボックスを選択して、「Update」をクリックします。

7. 「Replace or add a single module」を選択して一意のパス(oaam_sampleなど)を指定し、ステップ4で作成されたoaam_sample_inproc_was.warファイルへのパスを指定した後で、「Next」をクリックしてステップ2のページに進みます。
これがoaam_server1に適用されていることを確認します。また、「Resource Reference」ページでモジュール用にjdbc/OAAM_SERVER_DB_DSが選択されていることを確認します。

設定を変更しないでその他の構成手順を続行し、変更内容を保存して同期化します。

8. oracle.security.jps.was.deployment.jarをWAS_HOME/pluginsディレクトリに移動して、ノードおよびデプロイメント・マネージャを再起動します。このようにしないと、WAR/JARファイルをモジュールとしてアプリケーションに追加する作業が失敗します。

9. IBM WebSphere管理コンソールで「Applications」→「Application Types」→「WebSphere enterprise applications」→「oaam_server_11.1.2.0.0」→「Context Root for Web Modules」の順に移動して、OAAMサンプルWebモジュールに「oaam_sample」を指定します。

10. oaam_native_libsディレクトリを、was_native_jarディレクトリからoaam_serverがインストールされているディレクトリにコピーします。

11. IBM WebSphere管理コンソールで「Environment」→「Shared Libraries」と移動して、セルのスコープを「oaam_server1」として選択します。

12. 「oaam_native_libs」という名前の新しい共有ライブラリを作成し、そのクラスパスをステップ10で作成したディレクトリへのパスとして指定します。

13. IBM WebSphere管理コンソールで「Applications」→「Application Types」→「WebSphere enterprise applications」→「oaam_server_11.1.2.0.0」→「Shared library references」の順に移動して、「oaam_sample」Webモジュールの横のチェック・ボックスを選択します。

14. 「Reference Shared libraries」をクリックして、ステップ12で作成した共有ライブラリを「Available」リストから「Selected」リストに移動します。その後で、変更を保存して同期化します。

15. ステップ10でコピー先となったディレクトリから「was_native_jars/was_native_web.jar」をデプロイします。「Applications」→「Application Types」→「WebSphere Enterprise Applications」の順に移動して、「oaam_server_11.1.2.0.0」アプリケーションの横のチェック・ボックスを選択し、「Update」をクリックします。

16. 「Application update options」セクションの下で「Replace or add a single module」を選択し、「Specify the path beginning with the installed application archive file to the module to be replaced or added」フィールドで一意のパス(oaam_sample_webなど)を指定し、was_native_web.jarファイルへのパスを選択し、「Next」をクリックしてステップ2のページに進みます。これがoaam_server1に適用されていることを確認します。設定を変更しないで構成を続行し、変更内容を保存して同期化します。

17. oracle.security.jps.was.deployment.jarをWAS_HOME/pluginsディレクトリに移動して、ノード/マネージャを再起動します。

18. 「Servers」→「Server types」→「WebSphere application servers」の順に選択して、oaam_serverアプリケーション・サーバーを再起動します。

19. OAAM管理コンソールにログインします。

20. oaam_policies.zipファイルからポリシーをインポートします。

21. oaam_kba_questions_en.zipファイルからチャレンジ質問をインポートします。

22. Sample_Transaction_Defs.zipファイルからトランザクション定義をインポートします。

23. Sample_Txn_Models.zipファイルからトランザクション・ポリシーをインポートします。

24. 次のURLに移動します。

http://host-name:oaam-server-port/oaam_sample

OAAMサンプル・アプリケーションのログイン・ページが表示されます。

25. ユーザー名を入力し、次ページにパスワードを入力します。登録プロセスを経た後で、サンプル・トランザクションへのリンクが表示されます。

注意:

最初のログイン時のパスワードはtestである必要があります。このパスワードはすぐに変更してください。

26. ステップ8で「oracle.security.jps.was.deployment.jar」を移動してノード/マネージャを再起動した場合は、それをWAS_HOME/pluginsディレクトリに戻します。そうしないと、アクセス制御は完全に無効になります。

8.6.2 ネイティブSOAPベースのOAAMサンプル・アプリケーションの設定

この項では、ネイティブSOAPベースのOAAMサンプル・アプリケーションの設定方法について説明します。

SOAPベースのOAAMサンプル・アプリケーションを設定するには、次の手順を実行します。

1. oaam_sampleディレクトリを作成します。

2. oaam_sample_soap.zipファイルをoaam_sampleディレクトリに抽出します。

3. customer application deployment/WEB-INF/classesディレクトリで、テキスト・エディタを使用してoaam_custom.propertiesファイルを次のように編集します。

- vcrypt.tracker.soap.urlプロパティを設定します。

vcrypt.tracker.soap.url=http://host-name:port/oaam_server/services

この設定によって、アプリケーションが通信するWebサービスの場所が指定されます。

- bharosa.image.dirlistを、OAAMイメージが格納されている絶対ディレクトリ・パスに設定します。

- 暗号化鍵に関連するプロパティbharosa.cipher.encryption.algorithm.enumを削除します。

4. oaam_sampleディレクトリに移動し、次のコマンドを実行します。

jar cfm ../oaam_sample_soap_was.war META-INF/MANIFEST.MF .

これによってoaam_sample_soap_was.warファイルが生成されるので、このファイルをIBM WebSphere管理コンソールを使用してインストールします。

5. IBM WebSphere管理コンソールで、「Applications」→「Application Types」→「WebSphere enterprise applications」の順に移動します。

6. 「Enterprise Applications」リストから、「oaam_server_11.1.2.0.0」アプリケーションの横のチェック・ボックスを選択して、「Update」をクリックします。

7. 「Application update options」セクションで「Replace or add a single module」を選択して一意のパス(oaam_sampleなど)を指定し、ステップ4で作成されたoaam_sample_soap_was.warファイルへのパスを指定した後で、「Next」をクリックしてステップ2のページに進みます。設定を変更しないで構成を続行し、変更内容を保存して同期化します。
モジュールがoaam_server1に適用されていることを確認します。

8. oracle.security.jps.was.deployment.jarをWAS_HOME/pluginsディレクトリに移動して、ノードおよびデプロイメント・マネージャを再起動します。

9. IBM WebSphere管理コンソールで「Applications」→「Application Types」→「WebSphere enterprise applications」→「oaam_server_11.1.2.0.0」→「Context Root for Web Modules」の順に移動して、OAAMサンプルWebモジュールに「oaam_sample」を指定します。

10. oaam_native_libsディレクトリを、was_native_jarディレクトリからoaam_serverがインストールされているディレクトリにコピーします。

11. IBM WebSphere管理コンソールで「Environment」→「Shared Libraries」と移動して、セルのスコープを「oaam_server1」として選択します。

12. 「oaam_native_libs」という名前の新しい共有ライブラリを作成し、そのクラスパスをステップ10で作成したディレクトリへのパスとして指定します。

13. IBM WebSphere管理コンソールで「Applications」→「Application Types」→「WebSphere enterprise applications」→「oaam_server_11.1.2.0.0」→「Shared library references」の順に移動して、「oaam_sample」Webモジュールの横のチェック・ボックスを選択します。

14. 「Reference Shared libraries」をクリックして、ステップ12で作成した共有ライブラリを「Available」リストから「Selected」リストに移動します。変更を保存して同期化します。

15. ステップ10でコピー先となったディレクトリから「was_native_jars/was_native_web.jar」をデプロイします。コンソールのナビゲーション・ツリーで、「Applications」を開き、「Application Types」を選択して、「WebSphere enterprise applications」をクリックし、アプリケーションのリストを開きます。

16. 「Enterprise Applications」リストから、「oaam_server_11.1.2.0.0」アプリケーションの横のチェック・ボックスを選択して、「Update」をクリックします。

17. 「Replace or add a single module」を選択して一意のパス(oaam_sample_webなど)を指定し、was_native_web.jarファイルへのパスを選択し、「Next」をクリックしてステップ2に進みます。設定を変更しないで構成を続行し、構成を保存します。

18. oracle.security.jps.was.deployment.jarをWAS_HOME/pluginsディレクトリに戻して、ノード/マネージャを再起動します。

19. 「Servers」→「Server types」→「WebSphere application servers」の順に選択して、oaam_serverアプリケーション・サーバーを再起動します。

20. OAAM管理コンソールにログインします。

21. oaam_policies.zipファイルからポリシーをシステムにインポートします。

22. oaam_kba_questions_en.zipファイルからチャレンジ質問をシステムにインポートします。

23. Sample_Transaction_Defs.zipファイルからトランザクション定義をシステムにインポートします。

24. Sample_Txn_Models.zipファイルからトランザクション・ポリシーをシステムにインポートします。

25. 次のURLに移動します。

http://host-name:oaam-server-port/oaam_sample

サンプル・アプリケーションのログイン・ページが表示されます。

9 IBM WebSphereでのOracle Fusion Middlewareのセキュリティの管理

この章では、IBM WebSphereでのOracle Fusion Middlewareのセキュリティの管理およびこのプラットフォーム上のOracle Platform Security Services (OPSS)機能の一部の特異点を説明します。

OPSSは、サポート対象のプラットフォームまたはスタンドアロン・アプリケーションにデプロイされるアプリケーションの保護に使用可能なセキュリティ・プラットフォームです。

この章ではIBM WebSphereに適用される内容のみを取り上げます。すべてのプラットフォームに共通する内容はここでは取り上げませんが、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』に記載されています。

この章には次の項が含まれます:

- 第9.1項「IBM WebSphereアイデンティティ・ストア」

- 第9.2項「Trust Association Interceptorの構成」

- 第9.3項「デプロイメントでのポリシーの移行」

- 第9.4項「デプロイメントでの資格証明の移行」

- 第9.5項「ポリシーとreassociateSecurityStoreとの再関連付け」

- 第9.6項「デプロイメント・モード」

- 第9.7項「JpsFilterおよびJpsInterceptorの構成」

- 第9.8項「コード・ソースURLでのシステム変数の使用」

- 第9.9項「opss-applicationのサンプル・ファイル」

- 第9.10項「ファイルweb.xmlについて」

- 第9.11項「共通監査フレームワークwsadminコマンドの実行」

- 第9.12項「フェデレーション・イベントの監査の構成」

- 第9.13項「データソースの作成」

9.1 IBM WebSphereアイデンティティ・ストア

IBM WebSphereの場合、OPSSはLDAPベースのレジストリのみをサポートします。特に、WebSphereに組み込まれているファイルベースのユーザー・レジストリはサポートしません。

LDAP Oracle Fusion Middlewareに対してサポートされているLDAP認証の詳細は、http://www.oracle.com/technology/software/products/ias/files/fusion_certification.htmlを参照してください。

Open LDAP 2.2で必要な特殊な構成は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。

次の項では、リポジトリの構成およびシードについて説明します。

- リポジトリの構成

- レジストリの構成

9.1.1 リポジトリの構成

IBM WebSphereでのLDAPレジストリの構成は、コマンドconfigureIdentityStoreを使用して行います。このオンラインの管理コマンドの構文は次のとおりです。

wsadmin> Opss.configureIdentityStore(propsFileLoc="fileLocation")

propsFileLocにより、LDAPアイデンティティ・ストアのプロパティ設定が含まれているファイルの場所が指定されます。このコマンドにより、プロパティ・ファイル内の仕様が含まれるように構成ファイルjps-config.xmlが変更されます。

Opss.configurIdentityStoreの実行後、サーバーを再起動する必要があります。

次のプロパティが必要となるため、プロパティ設定ファイルで指定する必要があります。

- ldap.host

- ldap.port

- admin.id

- admin.pass

- idstore.type

- user.search.bases

- user.id.map

- group.id.map

- group.member.id.map

- group.search.bases

- primary.admin.id

次のリストは、IBM WebSphereレジストリに固有のオプションのプロパティです。

- group.filter

- user.filter

次の例は、Oracle Directory Server Enterprise Editionアイデンティティ・ストアのプロパティ設定を示しています。

user.search.bases=cn=Users,dc=us,dc=oracle,dc=com
group.search.bases=cn=Groups,dc=us,dc=oracle,dc=com
subscriber.name=dc=us,dc=oracle,dc=com
ldap.host=stamw10.examplehost.exampledomain.com
ldap.port=3060
# admin.id must be the full DN of the user in the LDAP
admin.id=cn=orcladmin
admin.pass=welcome1
user.filter=(&(uid=%v)(objectclass=person))
group.filter=(&(cn=%v)(objectclass=groupofuniquenames))
user.id.map=:uid
group.id.map=:cn
group.member.id.map=groupofuniquenames:uniquemember
ssl=false
# primary.admin.id indicates the user you want to be the primary
# administrative user on WebSphere. It should be a user under user.search.bases.
# later you need to use this user's user name and password to manage or
# start/stop the server.
primary.admin.id=orcladmin
# optional, default to "OID"
idstore.type=IPLANET
# other, optional identity store properties can be configured in this file.
username.attr=cn

有効なアイデンティティ・ストア・タイプは次のとおりです。

- OID

- IPLANET

- OVD

- ACTIVE_DIRECTORY

- OPEN_LDAP

9.1.2 レジストリのシード

一部のOracle Fusion Middlewareコンポーネントでは、IBM WebSphereアイデンティティ・ストアに特定のユーザーおよびグループが含まれている必要があります。この要件が確実に満たされるようにするため、任意のツールを使用して、必要なデータをシードします。たとえば、LDIFファイルおよびLDAPユーティリティbulkloadを使用すると、ユーザーおよびグループをアイデンティティ・ストアにロードできます。次にサンプルのLDIFファイルを示します。

dn: cn=OracleSystemUser,dc=com
userPassword: welcome1
sn: OracleSystemUser
cn: OracleSystemUser
objectClass: inetOrgPerson
objectClass: organizationalPerson
objectClass: person
objectClass: top

dn: cn=OracleSystemGroup,dc=com
cn: OracleSystemGroup
objectclass: groupOfUniqueNames

dn: cn=Administrators,dc=com
cn: Administrators
objectclass: groupOfUniqueNames

dn: cn=SystemMDBRole,dc=com
cn: SystemMDBRole
objectclass: groupOfUniqueNames
uniquemember: cn=OracleSystemUser,dc=com

9.2 Trust Association Interceptorの構成

HTTPクライアントは、Trust Association Interceptor (TAI)を使用してアイデンティティ情報をWebSphere Application Serverに渡せます。OPSSはTAIを、WebSphereセルで受信するコールを傍受するアサーションとして使用し、コンテナおよびセル全体のアイデンティティ伝搬をサポートします。

TAIを構成するには、次の手順に従います。

1. IBM WebSphere管理コンソールにログインします。

2. 「Security」→「Global Security」を選択します。

3. 表示されたページで「Authentication」に移動します。

4. 「Web」および「SIP」セキュリティを展開し、「Trust Association」をクリックします。

5. 「Enable Trust Association」を選択し、変更を保存します。

6. 「Trust Association」ページに戻り、「Additional Properties」→「Interceptors」をクリックします。

7. 「New」をクリックします。

8. 「Interceptor Class Name」ボックスに次の文字列を入力します。

oracle.security.jps.was.providers.trust.TrustServiceAsserterTAI

このクラスはJARファイルjps-was.jarにパッケージ化されます。

9. 変更を保存します。

9.3 デプロイメントでのポリシーの移行

デプロイでのアプリケーション・ポリシーの移行は、いくつかのパラメータによって制御されます。これらのパラメータはファイルMETA-INF/opss-application.xmlで構成します。このファイルの例は、「opss-applicationのサンプル・ファイル」を参照してください。デプロイ後にポリシー・ストアの再関連付けを行うには、「ポリシーとreassociateSecurityStoreとの再関連付け」を参照してください。

サポートされているパラメータおよび構成例は、次の項で説明します。

- jps.policystore.migration

- jps.policystore.applicationid

- jps.policystore.removal

次のパラメータは、IBM WebSphereではサポートされていないことに注意してください。

JpsApplicationLifecycleListener
Jps.apppolicy.idstoreartifact.migration
Jps.policystore.migration.validate.principal

9.3.1 jps.policystore.migration

このパラメータでは、移行を実行するかどうか、移行の実行時期、およびターゲット・ストアに存在する一致するポリシーをマージするのか上書きするのかを指定します。

IBM WebSphereでは次のコード断片に示すように構成します。

<service type="POLICY_STORE">
<property name="jps.policystore.applicationid" value="stripeid" />
<property name="jps.policystore.migration" value="overwrite" />
<property name="jps.policystore.removal" value="off" />
</service>

このパラメータの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。

9.3.2 jps.policystore.applicationid

このパラメータでは、ポリシーの移行先であるターゲット・ストライプを指定します。

IBM WebSphereでは次のコード断片に示すように構成します。

<service type="POLICY_STORE">
<property name="jps.policystore.applicationid" value="stripeid" />
<property name="jps.policystore.migration" value="overwrite" />
<property name="jps.policystore.removal" value="off" />
</service>

このパラメータの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。

9.3.3 jps.policystore.removal

このパラメータでは、アンデプロイ時にポリシーの削除を実行しないかどうかを指定します。

IBM WebSphereでは次のコード断片に示すように構成します。

<service type="POLICY_STORE">
<property name="jps.policystore.applicationid" value="stripeid" />
<property name="jps.policystore.migration" value="overwrite" />
<property name="jps.policystore.removal" value="off" />
</service>

このパラメータの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。

9.4 デプロイメントでの資格証明の移行

デプロイ時、アプリケーションの資格証明の移行は、いくつかのパラメータで制御されます。これらのパラメータはファイルMETA-INF/opss-application.xmlで構成します。このファイルの例は、「opss-applicationのサンプル・ファイル」を参照してください。

サポートされているパラメータおよび構成例は、次の項で説明します。

- jps.credstore.migration

次のパラメータは、IBM WebSphereではサポートされていないことに注意してください。

jps.ApplicationLifecycleListener

9.4.1 jps.credstore.migration

このパラメータでは、移行を実行するかどうか、移行の実行時期、およびターゲット・ストアに存在する一致する資格証明をマージするのか上書きするのかを指定します。

IBM WebSphereでは次のコード断片に示すように構成します。

<service type="CREDENTIAL_STORE">
<property name="jps.credstore.migration" value="overwrite" />
</service>

jps.credstore.migrationを overwriteに設定するには、システム・プロパティjps.app.credential.overwrite.allowedがtrueである必要があります。

このパラメータの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。

9.5 ポリシーとreassociateSecurityStoreとの再関連付け

ポリシー・ストアを再関連付けするスクリプトreassociateSecurityStoreの詳細は、 『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。このスクリプトはある程度の時間実行される可能性が高いため、例外の発生を避けるために、サーバーへの接続のタイムアウトをデフォルトより長い値にリセットする必要があります。

Oracle Entitlements Serverに対するセキュリティ・ストアの再関連付けを行うには、コマンドconfigureSecurityStoreWasを使用します。コマンドの説明は第10.3.2項にあります。

9.6 デプロイメント・モード

IBM WebSphereでは、デプロイメントはオンライン・モードでのみサポートされています。オフライン・デプロイメントはサポートされていません。

9.7 JpsFilterおよびJpsInterceptorの構成

IBM WebSphereでは、JpsFilterとJpsInterceptorをいずれも手動で構成する必要があります。

サポートされているプロパティおよび構成例は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。

9.8 コード・ソースURLでのシステム変数の使用

システム変数oracle.deployed.app.dirとoracle.deployed.app.extを使用することによって、プラットフォームとは無関係なURLを指定できます。これらの変数を使用した構成例は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。

9.9 opss-applicationのサンプル・ファイル

opss-application.xmlファイルの内容の例を次に示します。

<?xml version="1.0" encoding="UTF-8" standalone='yes'?>
<opss-application  xmlns="http://xmlns.oracle.com/oracleas/schema/11/opss-application-11_1.xsd" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://xmlns.oracle.com/oracleas/schema/11/opss-application-11_1.xsd" schema-major-version="11" schema-minor-version="1">
<services>
<service type="POLICY_STORE">
<property name="jps.policystore.applicationid" value="stripeid" />
<property name="jps.policystore.migration" value="MERGE" />
</service>
<service type="CREDENTIAL_STORE">
<property name="jps.credstore.migration" value="MERGE" />
</service>
</services>
</opss-application>

9.10 ファイルweb.xmlについて

web.xmlファイルの要素<auth-method>は、WebLogic固有のため、IBM WebSphereではサポートされていません。この要素がある場合は、IBM WebSphereのweb.xmlファイルでサポートされている同等の機能で置換する必要があります。

9.11 共通監査フレームワークwsadminコマンドの実行

Oracle Fusion Middlewareの共通監査フレームワークで提供される監査コマンドを実行するには、次の手順を実行する必要があります。

1. Oracle Fusion Middleware wsadminコマンドライン・シェルを起動します。

2. 監査コマンドの前にキーワードAuditを加えます。例:

wsadmin> Audit.getAuditPolicy()
wsadmin> Audit.setAuditPolicy()

wsadmin> Audit.setAuditRepository
(['switchToDB'],['dataSourceName'],['interval'])
(see Section 9.13, "Creating a Data Source" for a related topic)

監査コマンドの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。

9.12 フェデレーション・イベントの監査の構成

アイデンティティ・フェデレーション・イベントの監査を有効にするには、フィルタ・プリセットを「High」に設定しておく必要があります。デフォルトのレベル(「Low」)では、フェデレーション・イベントで監査レコードが生成されません。

9.13 データソースの作成

JDBCデータ・ソースをWebSphereセルに作成するには、次の手順に従います。

1. WebSphereコンソールにログインし、「Resources, JDBC, DataSources」に移動します。

2. プルダウン・リストから適切なスコープを選択します。

3. 「New」ボタンをクリックして「Create a data source」ページを表示し、左のパネルに示された手順に従います。

4. 手順1では、「Data Source Name」と「JNDI Name」に入力します。「Scope」ボックスは読取り専用であり、先に選択されたスコープが示されています。「次」をクリックすると、次の手順に進みます。

5. 手順2.1では、「Database Type」を「Oracle」に設定し、「Implementation Type」を「Connection Pool Data Source」に設定して、「Name」にプロバイダを入力します。「次」をクリックすると、次の手順に進みます。

6. 手順2.2では、変数ORACLE_JDBC_DRIVER_PATHで示されるパスが適切に設定されていることを確認します。「次」をクリックすると、次の手順に進みます。

7. 手順3では、JDBCのURLを適切な値に設定します。たとえば、jdbc:oracle:thin:@xyz12345.example.com:4321:orclのようになります。「次」をクリックすると、次の手順に進みます。

8. 手順4では、リンク「Global J2C Authentication Alias」をクリックして、ページ「Data Sources」→「JAAS - J2C Authentication Data」を表示します。

9. このページで「New」をクリックして、「New」ページを表示します。

10. 「New」ページで、「Alias」に入力し、「User ID」および「Password」をデータベース・ユーザーのユーザー名とパスワードを設定します。「OK」をクリックして、「JAAS-J2C Authorization」ページに戻ります。

11. このページで、必要に応じて「Message」ボックスを展開し、「Save」をクリックします。

12. ブラウザの「戻る」ボタンを使用して前述の手順4のページに戻ります。入力した認証のエイリアスを確認できるようにするには、ブラウザの「戻る」ボタンをクリックしてから「進む」ボタンをクリックしてページを最新の状態にします。

13. 「Component-Managed Authentication Alias」および「Container-Managed Authentication Alias」を入力した認証のエイリアス(プルダウン・リストに表示されるようになっているはずです)に設定し、「Mapping-Configuration Alias」を「DefaultPrincipalMapping」に設定します。「Next」をクリックします。

14. 「Finish」をクリックして、「Save」をクリックし、指定したデータ・ソースを保存します。

15. 新しく作成したデータ・ソースを検証するには、「DataSource」ページに移動して「Test Connection」をクリックします。

注意:

前述の手順のなかには、この手順で参照していないページで行えるものもあります。たとえば、「Creating a JDBC Provider」ページや「Creating J2C Authentication Data」ページです。

10 IBM WebSphereでのOracle Entitlements Serverの管理

ここでは、IBM WebSphereでのOracle Entitlements Serverのインストールおよび管理について説明します。この章には次の項が含まれます:

- IBM WebSphereでのOracle Entitlements Serverのインストールの概要

- IBM WebSphereでのOracle Entitlements Serverのインストールおよび構成ロードマップ

- Oracle Entitlements Server管理サーバーの構成

- Oracle Entitlements Serverクライアントのインストール

- IBM WebSphereセキュリティ・モジュールの構成

- その他のアプリケーション・サーバーのセキュリティ・モジュールの構成

- インストール後のOracle Entitlements Serverのスタート・ガイド

10.1 IBM WebSphereでのOracle Entitlements Serverのインストールの概要

Oracle Entitlements Serverは、アプリケーション・リソースの保護を精密に制御するために使用できる緻密な認可および権限管理ソリューションです。これにより、包括的で再利用可能な完全に監査可能な認可ポリシーと簡素で使用しやすい管理モデルが提供され、エンタープライズ・アプリケーションとSOAのセキュリティが簡略化され集中管理されます。詳細は、『Oracle Fusion Middleware Oracle Entitlements Server管理者ガイド』のOracle Entitlements Serverの導入に関する項を参照してください。

Oracle Entitlements Server 11g リリース2 (11.1.2.1.0)には、次の2つの個別コンポーネントがあります。

- Oracle Entitlements Server管理サーバー: このコンポーネントはOracle Identity and Access Management 11g リリース2 (11.1.2.1.0)インストールに含まれています。

- Oracle Entitlements Serverクライアント(セキュリティ・モジュール): このコンポーネントは独自のインストーラがあり、Oracle Identity and Access Management 11g リリース2 (11.1.2.1.0)インストールには含まれていません。また、IBM WebSphereは必要ありません。

10.2 IBM WebSphereでのOracle Entitlements Serverのインストールおよび構成ロードマップ

表10-1に、Oracle Entitlements Serverのインストールおよび構成のタスクを示します。

表10-1 Oracle Entitlements Serverのインストールおよび構成のフロー

手順

タスク

説明

1

システム要件および動作保証のドキュメントを読み、環境がインストールするコンポーネントの最低のインストール要件を満たしていることを確認します。

詳細は、第2.1項「タスク1: システム要件と動作保証情報の確認」を参照してください。

2

必要なソフトウェアを入手します。

詳細は、第2.2項「タスク2: 必要なソフトウェア・メディアまたはダウンロードの取得」を参照してください。

3

Oracle Entitlements Serverポリシー・ストアに対応したOracle Databaseをインストールし、Oracle Entitlements Server用の適切なスキーマを作成してロードします。

Oracle Entitlements Serverに対応するOracle Databaseを使用する場合には、Oracle Fusion Middlewareリポジトリ作成ユーティリティを使用してOracle Entitlements Serverに対応するスキーマを作成する必要があります。詳細は、第2.3項「タスク3: データベースの特定と必要なデータベース・スキーマのインストール」を参照してください。

4

IBM WebSphereをインストールします。

詳細は、第2.4項「タスク4: IBM WebSphereソフトウェアのインストール」を参照してください。

5

IBM WebSphereでのOracle Fusion Middlewareのインストールに関する特記事項を確認します。

詳細は、第2.6.1項「IBM WebSphereでのOracle Identity and Access Managementインストール時の特別な手順」を参照してください。

6

Oracle Identity and Access Managementソフトウェアを、Oracle Entitlements Serverも含めてインストールします。

Oracle Entitlements Serverは、Oracle Identity and Access Management Suiteに含まれています。Oracle Identity and Access Management Suiteをインストールするには、Oracle Identity and Access Management 11gインストーラを使用します。

Oracle Entitlements Serverの場合、AS共通スキーマ - Oracle Platform Security Servicesスキーマを選択します。デフォルトで、AS共通スキーマ - メタデータ・サービス・スキーマも選択されます。

詳細は、第2.6項「タスク6: Oracle Identity and Access Management Suiteのインストール」を参照してください。

7

Oracle Fusion Middleware構成ウィザードを実行して、Oracle Entitlements Server管理サーバーを構成します。

詳細は、第10.3項「Oracle Entitlements Server管理サーバーの構成」を参照してください。

8

Oracle Entitlements Serverクライアント・ソフトウェアをインストールします。

詳細は、第10.4項「Oracle Entitlements Serverクライアントのインストール」を参照してください。

9

Oracle Entitlements Serverクライアントを構成します。

詳細は、第10.5項「IBM WebSphereセキュリティ・モジュールの構成」を参照してください。

10

Oracle Entitlements Serverを使い始めます。

詳細は、第10.8項「インストール後のOracle Entitlements Serverのスタート・ガイド」を参照してください。

10.3 Oracle Entitlements Server管理サーバーの構成

第10.2項「IBM WebSphereでのOracle Entitlements Serverのインストールおよび構成ロードマップ」の手順に従って、Oracle Entitlements Server管理サーバーをインストールしておく必要があります。

10.3.1 新しいIBM WebSphereセルでのOracle Entitlements Serverの構成

IBM WebSphere環境でOracle Entitlements Server管理サーバーを構成するには、特定のバージョンのOracle Fusion Middleware構成ウィザードを使用します。詳細は、第2.8項「タスク8: 新しいIBM WebSphereセルでのOracle Identity and Access Managementコンポーネントの構成」を参照してください。

管理サーバーの構成については、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』の新しいWebLogicドメインでのOracle Entitlements Serverの構成に関する項を参照してください。IBM WebSphere環境で管理サーバーを構成するときは、次が適用されることに注意してください。

- テンプレートOracle Entitlements Server for Admin Server - 11.1.1.0 [oracle_common]を選択します。Oracle Platform Security Service 11.1.1.0オプションとOracle JRF 11.1.1.0オプションもデフォルトで選択されます。

- JDBCの構成画面で、OPSSデータソースの適切なservice_name、hostname、user_name、passwordおよびportを設定します。

10.3.2 Oracle Entitlements Server管理サーバーのセキュリティ・ストアの構成

Oracle Entitlements Server管理サーバーのセキュリティ・ストアを構成するには、configureSecurityStoreWas.pyスクリプトを実行する必要があります。configureSecurityStoreWas.pyスクリプトの詳細は、第2.9項「タスク9: データベース・セキュリティ・ストアの構成」を参照してください。ただし、Oracle Entitlements Serverの構成にスクリプトを使用する場合、--config IAMオプションは使用しません。

configureSecurityStoreWas.pyスクリプトは<IAM_HOME>\common\toolsディレクトリにあります。

たとえば、ヘルプを取得するには、次のような--helpオプションを使用します。

<IAM_HOME>\common\bin\wsadm.sh <IAM_HOME>\common\tools\configureSecurityStoreWas.py --help

次のようにして、Oracle Entitlements Server管理サーバーのセキュリティ・ストアを構成します。

- Windowsの場合:

wsadmin.bat -lang jython -profileName DEPLOYMENT_MANAGER_PROFILE_NAME -f IAM_HOME\common\tools\configureSecurityStoreWas.py -d PATH_TO_DEPLOYMENT_MANAGER_CELL_DIRECTORY -t DB_ORACLE -j cn=jpsroot -m create --passcode OPSS_SCHEMA_PASSWORD --wasadmin WAS_ADMIN_USERNAME

例:

wsadmin.bat -lang jython -profileName Dmgr01 -f IAM_HOME\common\tools\configureSecurityStoreWas.py -d IAM_HOME\was\install\was6076\profiles\Dmgr01\config\cells\DefaultCell01 -t DB_ORACLE -j cn=jpsroot -m create --passcode opsschemapassword --wasadmin adminusername

- UNIXの場合:

./wsadmin.sh -lang jython -profileName DEPLOYMENT_MANAGER_PROFILE_NAME -f IAM_HOME/common/tools/configureSecurityStoreWas.py -d PATH_TO_DEPLOYMENT_MANAGER_CELL_DIRECTORY -t DB_ORACLE -j cn=jpsroot -m create --passcode OPSS_SCHEMA_PASSWORD --wasadmin WAS_ADMIN_USERNAME

例:

./wsadmin.sh -lang jython -profileName Dmgr01 -f IAM_HOME/common/tools/configureSecurityStoreWas.py -d IAM_HOME/was/install/was6076/profiles/Dmgr01/config/cells/DefaultCell01 -t DB_ORACLE -j cn=jpsroot -m create --passcode opsschemapassword --wasadmin WAS_ADMIN_USERNAME

表10-2 に、IBM WebSphere環境で有効なconfigureSecurityStoreWasパラメータを示します。

表10-2 configureSecurityStoreWasパラメータ

パラメータ

説明

--config

ドメインの構成モード。例: IAM。これはオプションであり、デフォルト値はNoneです。

- --configが選択されている場合、OES管理サーバーは複合モードで構成され、制御されないモードおよび制御されたプル・モードのみでセキュリティ・モジュールにポリシーの配布ができます。
例: その他のOracle Identity and Access Managementコンポーネント(OIM、OAM、OAAM、OPAMまたはOIN)がデプロイされたドメインにOES管理サーバーがデプロイされた場合、ドメインは複合モードで構成されます。この場合、OES管理サーバーは、Oracle Identity and Access Managementポリシーの管理にのみ使用されます。OESセキュリティ・モジュールにより保護されている他のアプリケーションのポリシーの管理に使用できません。

- --configが指定されていない場合、OES管理サーバーは制御されないモードで構成され、制御されたプッシュ・モードでセキュリティ・モジュールにポリシーを配布できます。
例: OESセキュリティ・モジュールにより保護されているカスタム・アプリケーションの管理にOES管理サーバーを使用する場合、OES管理サーバーは、制御されない配布モードでドメインにデプロイされる必要があります。

--datasource

ドメイン内に構成されているセキュリティ・ストアのデータ・ソース。デフォルト値はopss-DBDSです。

-d domaindir

OES管理サーバー・ドメインの場所

--farmname

セキュリティ・ストアのファーム名。これはオプションであり、デフォルト値はドメイン名です。

fixjse

JSEツールによるアクセスに使用されるドメインのデータベース・セキュリティ・ストアの接続情報を更新するには、fixjseを使用します。

--help

使用方法が表示されます。

join

ドメインに既存のデータベース・セキュリティ・ストアを使用する場合、joinを使用します。

-j jpsroot

jpsrootの識別名。これはオプションであり、デフォルト値はcn=jpsrootです。

--keyfilepath

暗号化鍵ファイルewallet.p12が含まれているディレクトリ。-m joinが指定されている場合、このオプションは必須です。

--keyfilepassword

ドメインの鍵ファイルが生成された場合に使用されるパスワード。-m joinが指定されている場合、このオプションは必須です。

-m mode create

有効な値は、create、fixjse、join、validateです。たとえば、新しいデータベース・セキュリティ・ストアを作成する場合にcreateを使用します。

--passcode

OPSSスキーマ・パスワード。

-t servertype

ポリシー・ストア・タイプ。例: DB_ORACLE、DB_DERBYまたはOID。これはオプションであり、デフォルト値はDB_ORACLEです。

--username

OPSSスキーマのユーザー名。-m fixjseが指定されている場合、このオプションは必須です。

validate

セキュリティ・ストアが正しく構成されたかどうかを確認するには、validateを使用します。このコマンドにより、セキュリティ・ストアの初期作成時に作成された診断データを確認します。

validatefix

セキュリティ・ストアに存在する診断データを修正するには、validatefixを使用します。

--wasadmin

WASドメインの管理者ユーザー名。-m createまたは-m joinを指定する場合は、オプションのパラメータを使用します。パスすると、このユーザーはSystemAdminロールの権限を付与されます。

joinオプションを使用したデータベース・セキュリティ・ストアの構成

-m joinオプションを使用してデータベースを構成するときは、すでにデータベース・セキュリティ・ストアと連携するように構成された同じOracle Identity and Access Management論理デプロイメントのドメインからドメインの暗号化鍵をエクスポートし、configureSecurityStoreWas.pyスクリプトを実行する必要があります。このためには、exportEncryptionKeyを最初のドメインで実行し、-keyfileのパラメータとして生成されたewallet.p12ファイルを使用します。-keyfilepasswordのパラメータとして、パスワード(exportEncryptionKey内)が必要です。詳細および例は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のデータベース・セキュリティ・ストアの構成に関する項を参照してください。

10.3.3 管理サーバーの起動

コマンドラインで次のコマンドを実行して、管理サーバー(OracleAdminServer)を起動する必要があります。

- Windows

profiles\profile_name\bin\startServer.bat OracleAdminServer

- UNIX

profiles/profile_name/bin/startServer.sh OracleAdminServer

詳細は、第2.10項「タスク10: IBM WebSphereサーバーの起動」を参照してください。

10.3.4 Oracle Entitlements Server管理サーバーの構成の検証

Oracle Entitlements Server管理サーバーの構成が成功したことを確認するには、次のURLを使用してOracle Entitlements Server管理コンソールにログインします。

http://hostname:port/apm/

ここで、hostnameは管理サーバーのDNS名またはIPアドレス、portは管理サーバーがリクエストをリスニングしているポートのアドレスです。

詳細は、『Oracle Fusion Middleware Oracle Entitlements Server管理者ガイド』の管理コンソールへのアクセスに関する項を参照してください。

10.4 Oracle Entitlements Serverクライアントのインストール

このセクションのトピックは次のとおりです:

- 前提条件

- Oracle Entitlements Serverクライアント・ソフトウェアの取得

- Oracle Entitlements Serverクライアントのインストール

- パッチの適用

10.4.1 前提条件

Oracle Entitlements Serverクライアント・ソフトウェアをインストールする前に、第10.2項「IBM WebSphereでのOracle Entitlements Serverのインストールおよび構成管理」の説明に従って、Oracle Entitlements Server管理サーバーをインストールおよび構成する必要があります。

10.4.2 Oracle Entitlements Serverクライアント・ソフトウェアの取得

Oracle Entitlements Serverクライアント・ソフトウェアのダウンロード元の詳細は、Oracle Technology Network (OTN)のOracle Fusion Middlewareのダウンロード、インストールおよび構成に関するReadmeファイルを参照してください。 http://download.oracle.com/docs/cd/E23104_01/download_readme.htm.

10.4.3 Oracle Entitlements Serverクライアントのインストール

Oracle Entitlements Serverクライアント11g リリース2 (11.1.2.1.0)をIBM WebSphereにインストールするには、Oracle WebLogic Serverのインストール手順に従ってください。詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Entitlements Serverクライアントのインストールに関する項を参照してください。

10.4.4 パッチの適用

Oracle Entitlements Serverクライアント・ソフトウェアがOracle Entitlements Server管理サーバーとは別のミドルウェア・ホームにインストールされている場合は、パッチを適用する必要があります。詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOPatchを使用したパッチの適用に関する項を参照してください。

10.5 IBM WebSphereセキュリティ・モジュールの構成

JRF環境およびJRFではない環境で、WebSphereを構成できます。選択したオプションに応じて、次のいずれかを実行してください。

- JRFではない環境でのWebSphereセキュリティ・モジュールの構成

- JRF環境でのWebSphereセキュリティ・モジュールの構成

WebSphere Security ModuleでのSecurity Sockets Layer (SSL)接続およびサード・パーティのデジタル証明書の使用の詳細は、『Oracle Fusion Middleware Oracle Entitlements Server管理者ガイド』のデフォルトまたはサード・パーティのデジタル証明書の使用に関する項を参照してください。

10.5.1 JRFではない環境でのWebSphereセキュリティ・モジュールの構成

JRFではない環境でWebSphereセキュリティ・モジュールを構成するには、次の手順を実行します。

1. IBM WebSphereコンソールを使用して新規アプリケーション・サーバーを作成し、それをOesServerと名付けます。

2. IBM WebSphereに対して作成したOracle Entitlements Server(OesServer)を起動します。

3. smconfig.prpファイルをテキスト・エディタで開き、pdクライアント・ポートおよびpd appクライアント・コンテキストを指定します。pdクライアント・ポート番号はIBM WebSphere Application ServerのSSLポート番号であり、pd appクライアント・コンテキストはwas-client.jarをデプロイする場所です。例:

oracle.security.jps.pd.was.client.appcontext=pd-client
oracle.security.jps.pd.clientPort=8002

4. config.shコマンドを次のように実行します。

$OES_CLIENT_HOME/oessm/bin/config.sh -smType was -smConfigId mySM_WAS -serverLocation WAS_HOME

WAS_HOMEは、IBM WebSphere Application Serverの場所です。

選択した配布モードに対して、ユーザー名とパスワードの入力を求められたら、IBM WebSphereサーバーのユーザー名とパスワードを指定する必要があります。

制御されたプッシュ・モードでは、Oracle Entitlements Server管理サーバーのユーザー名とパスワード、および登録用の新規キーストアのパスワードの入力を求められます。

制御されないモードや制御されたプル・モードでは、Oracle Entitlements Serverスキーマのユーザー名とパスワードの入力が求められます。

表10-3では、コマンドラインで指定するパラメータについて説明します。

表10-3 IBM WebSphereセキュリティ・モジュール・パラメータ

パラメータ

説明

smType

作成するセキュリティ・モジュール・インスタンスのタイプです。たとえば、wasです。

smConfigId

セキュリティ・モジュール・インスタンスの名前です。たとえば、mySM_WASです。

serverLocation

IBM WebSphere Serverの場所です。

注意:

JRFではない環境でのIBM WebSphereセキュリティ・モジュールのデフォルトの配布モードは、制御されたプッシュ配布です。

5. IBM WebSphere Application ServerのSSLを次のように構成します。

1. 次の例に示すように、keytoolを使用してWLSデモ信頼証明書をWLSデモ信頼キーストア・ファイルからエクスポートすることで、Oracle WebLogic Serverデモ信頼証明書をIBM WebSphereノードのデフォルト信頼キーストアおよびセルのデフォルト信頼キーストアにインポートします。または、OES trust.jksファイルを.derにインポートします。

keytool -exportcert -keystore $OES_CLIENT_HOME/oessm/enroll/DemoTrust.jks -alias wlscertgencab -file ~/was.der

2. 次のように、was.derファイルをWASノードのデフォルト信頼キーストアとセルのデフォルト信頼キーストアにインポートします。

- IBM WebSphere Administration Serverコンソールでインポートを確認できます。
「security」→「SSL certificate and key management」→「Key stores and certificates」→「<NodeDefaultTrustStore> <CellDefaultTrustStore>」(名前を1つ選択)→「Signer certificates」。

- 「Add」をクリックします。

- 別名を入力します。たとえば、WASです。

- エクスポート済の.derファイルを選択し、データ型にはDERを選択します。

3. 次のように、発行済の秘密鍵をIBM WebSphereノードのデフォルト・キーストアにインポートします。

- IBM WebSphere Administration Serverコンソールでインポートする秘密鍵を確認できます。
「security」→「SSL certificate and key management」→「Key stores and certificates」→「NodeDefaultKeyStore」→「Personal certificates」。

- 「Import」をクリックします。

- 「Keystore」を選択し、キーストア・ファイルへのパスを入力します(格納場所はOES_CLIENT_HOME/oes_sm_instances/mySM_WAS/security/identity.jks)。

- タイプとしてJKSを選択し、キーストア・ファイルの作成に使用したパスワードを入力します。

- 証明書の別名はホスト名と同じです。

注意:

デモ信頼証明書をWAS NDエディションの2つの信頼ストアにインポートする必要があります。秘密鍵の場合、1つのキーストアをインポートする必要があります。

4. 次のように、IBM WebSphereセキュリティ・モジュールが実行されているサーバーに対するインバウンドSSLを有効化します。

- IBM WebSphere管理コンソールで、「Security」→「SSL certificate and key management」→「Manage endpoint security configurations」の順に移動します。

- インバウンド・ツリーを展開して「Inbound」→「DefaultCell(CellDefaultSSLSettings)」→「nodes」→「DefaultCellFederatedNode」→「servers」→「<IBM WebSphereセキュリティ・モジュールを実行しているサーバー名>」を表示し、サーバーを選択します。

- 「General Properties」ページで、「Override inherited values」を選択します。

- 「SSL configuration」リストで、「NodeDefaultSSLSettings」を選択します。

- 「Update certificate alias list」ボタンをクリックし、「Certificate alias in key store」リストで新規インポート済の秘密鍵の別名を選択します。

- 「Apply」をクリックします。

5. 次のように、IBM WebSphereセキュリティ・モジュールが実行されているサーバーに対するアウトバウンドSSLを有効化します。

- IBM WebSphere管理コンソールで、「Security」→「SSL certificate and key management」→「Manage endpoint security configurations」の順に移動します。

- インバウンド・ツリーを展開して「Outbound」→「DefaultCell(CellDefaultSSLSettings)」→「nodes」→「DefaultCellFederatedNode」→「servers」→「<IBM WebSphereセキュリティ・モジュールを実行しているサーバー名>」と表示し、サーバーを選択します。

- 「General Properties」ページで、「Override inherited values」を選択します。

- 「SSL configuration」リストで、「NodeDefaultSSLSettings」を選択します。

- 「Update certificate alias list」をクリックし、「Certificate alias in key store」リストで新規インポート済の秘密鍵の別名を選択します。

- 「Apply」をクリックします。

10.5.2 JRF環境でのWebSphereセキュリティ・モジュールの構成

JRF環境でWebSphereセキュリティ・モジュールを構成するには、次の手順を実行します。

1. Oracle Fusion Middleware IBM WebSphere Application Server構成ガイドの説明に従って、IBM WebSphere Application Serverを構成します。

注意:

「セルへの製品追加」画面で、Oracle JRF for WebSphere - 11.1.1.0 [oracle_common]を選択していることを確認してください。

2. config.shコマンドを次のように実行します。

$OES_CLIENT_HOME/oessm/bin/config.sh -smType was -smConfigId mySM_WAS -onJRF -conntype SOAP -host <websphere_host> -port <websphere_port> -user <username> -password <password> -serverLocation WAS_HOME

WAS_HOMEは、IBM WebSphere Application Serverの場所です。

選択した配布モードに対して、ユーザー名とパスワードの入力を求められたら、IBM WebSphereサーバーのユーザー名とパスワードを指定する必要があります。

制御されたプッシュ・モードでは、Oracle Entitlements Server管理サーバーのユーザー名とパスワード、および登録用の新規キーストアのパスワードの入力を求められます。

制御されないモードや制御されたプル・モードでは、Oracle Entitlements Serverスキーマのユーザー名とパスワードの入力が求められます。

表10-4では、コマンドラインで指定するパラメータについて説明します。

表10-4 IBM WebSphereセキュリティ・モジュール・パラメータ

パラメータ

説明

smType

作成するセキュリティ・モジュール・インスタンスのタイプです。たとえば、wasです。

smConfigId

セキュリティ・モジュール・インスタンスの名前です。たとえば、mySM_WASです。

serverLocation

IBM WebSphere Serverの場所です。

host

WebSphereのホスト名を指定します。

port

WebSphereのノード・マネージャのポートを指定します。例: 8882

user

WebSphereのユーザー名を指定します。例: websphere

password

WebSphereのパスワードを指定します。

注意:

JRF環境でのIBM WebSphereセキュリティ・モジュールのデフォルトの配布モードは、制御されない配布です。

JRF環境でWebSphereセキュリティ・モジュールを構成した後、Oracle Databaseへの接続を設定する必要があります。

Oracle Databaseへの接続の設定

Oracle Databaseへの接続を設定するには、次の手順を実行します。

1. WebLogic Server管理コンソールを使用して、JDBCデータ・ソースを作成します。詳細は、Oracle Fusion Middleware Oracle WebLogic Server管理コンソール・オンライン・ヘルプでJDBC汎用データ・ソースの作成に関する項を参照してください。

2. <OES_DOMAIN_HOME>/config/oeswlssmconfigディレクトリ(UNIXの場合)または<OES_DOMAIN_HOME>\config\oeswlssmconfigディレクトリ(Windowsの場合)にあるjps-config.xmlファイルを開きます。

3. pdp.serviceを見つけて、既存のjdbc.urlプロパティを次のプロパティと置き換えます。
<property value="jdbc/APMDBDS" name="datasource.jndi.name"/>

注意:

jdbc/APMDBDSは、Oracle Entitlements Serverに使用されるJDBCデータソースの名前です。

4. 次のプロパティを削除します。

- jdbc.driver

- jdbc.url

- bootstrap.security.principal.key

- bootstrap.security.principal.map

5. jps-config.xmlファイルを保存します。

10.6 IBM WebSphereでのOracle Entitlements Server wsadminコマンドの使用

IBM WebSphere wsadminコマンドライン・インタフェースからOracle Entitlements Serverコマンドを実行できます。詳細は、第3.1.3項「Oracle Fusion Middlewareのwsadminコマンドの使用」を参照してください。

Oracle Entitlements Serverのコマンドは、『Oracle Fusion Middleware Oracle Entitlements Server管理者ガイド』に記載されています。Oracle Entitlements Serverコマンドは、WebLogic ServerとWebSphere Serverでまったく同じように機能します。

10.7 その他のアプリケーション・サーバーのセキュリティ・モジュールの構成

IBM WebSphereセキュリティ・モジュールだけでなく、Oracle Entitlements Serverには、他のアプリケーション・サーバー用のセキュリティ・モジュールも含まれています。これらの構成の詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のセキュリティ・モジュールの構成に関する項を参照してください。

10.8 インストール後のOracle Entitlements Serverのスタート・ガイド

Oracle Entitlements Serverのインストール後、次のドキュメントを参照してください。

- Oracle Fusion Middleware Oracle Entitlements Server管理者ガイド

- Oracle Fusion Middleware Oracle Entitlements Server開発者ガイド

これら2つのドキュメントに記載されている情報は通常、Oracle WebLogic Server上でOracle Entitlements Serverを使用する場合の説明です。

11 IBM WebSphereでのOracle Privileged Account Managerの管理

『Oracle Fusion Middleware Administrator's Guide for Oracle Privileged Account Manager』に含まれる概念および手順の説明のほとんどは、WebLogicとWebSphereの両方の環境にも当てはまります。

この章では、IBM WebSphereでOracle Privileged Account Managerを使用する場合にのみ関係する情報を提供します。

内容は次のとおりです。

- Oracle Privileged Account ManagerのOracle Fusion Middlewareへのデプロイ方法の相違

- Oracle Privileged Account Managerの管理の準備の相違

- Oracle Privileged Account Managerの認可の相違

- IBM WebSphereでのOracle Privileged Account Managerサーバーの追加と管理の相違

- Oracle Privileged Account Managerの監査およびロギングの管理の相違

- IBM WebSphereでのOracle Privileged Account Managerの拡張構成タスクの実行の相違

- Oracle Identity Managerとの統合時の違い

- Oracle Privileged Account Managerコマンドライン・ツールおよびIBM WebSphereのRESTインタフェースの使用時の違い

- IBM WebSphereでOracle Privileged Account Managerを使用する際の制限事項と既知の問題

11.1 Oracle Privileged Account ManagerのOracle Fusion Middlewareへのデプロイ方法の相違

ここでは、Oracle Privileged Account ManagerがOracle Fusion Middleware内でIBM WebSphere上にデプロイされる方法の相違について説明します。

図11-1にWebSphereのセル構成を示します。

図11-1 Oracle Fusion Middleware内にデプロイされたIBM WebSphere上のOracle Privileged Account Manager

この図からわかるように、セル構成には2つのプロファイルが含まれています。

- デプロイメント・マネージャ・プロファイル: このプロファイルには、デプロイメント・マネージャ・サーバーが実行されているAdmin Nodeが含まれています。

- AppServerプロファイル: このプロファイルには、次のサーバーが実行されているAppServer Nodeが含まれています。

- OracleAdminServer: Oracle Privileged Account ManagerコンソールをホストするOracle Identity Navigatorアプリケーションは、このサーバーにデプロイされます。選択される認可モードは、必要に応じてformまたはclient-certのどちらかです。
IBM WebSphereには組込みLDAPサーバーがないため、外部LDAPサーバーを構成して、ユーザーやグループのアイデンティティ・ストアとして機能させる必要があります。

- Oracle Privileged Account Managerの管理対象サーバー: このサーバーには2つのOracle Privileged Account Managerアプリケーションがデプロイされます。ひとつは、基本認証モードを使用するアプリケーションで、Oracle Privileged Account Managerコマンドライン・ツールに必要となります。もうひとつは、client-cert認証モードを使用するアプリケーションで、Oracle Privileged Account ManagerコンソールがOracle Privileged Account Managerサーバーと通信する際に使用します。
このサーバーは、データ・ソースがOracle Privileged Account Managerデータベース・ストア用にターゲット設定され、ICFコネクタが構成されているWebLogic Managed Serverとよく似ています。

11.2 Oracle Privileged Account Managerの管理の準備の相違

ここでは、IBM WebSphere環境でのOracle Privileged Account Managerの管理の準備について説明します。

内容は次のとおりです。

- デフォルト・ポート

- IBM WebSphereでのOracle Privileged Account Managerの開始

11.2.1 デフォルト・ポート

11g リリース2をIBM WebSphereにインストールしたら、このリリースのOracle Privileged Account Managerに対応している次のデフォルト・ポートを確認しておくことをお薦めします。

表11-1 デフォルト・ポート

ポート・タイプ

デフォルト・ポート

説明

Oracle Privileged Account Manager

18102

Oracle Privileged Account Managerアプリケーション・サーバー(opam_server1)のデフォルトのSSL対応ポート。

shiphome (購入時の環境など)には、Oracle Privileged Account Managerに関連する次の2つのWebSphereサーバーがあります。

- AppServerノードのOracleAdminServerはOracle Identity NavigatorおよびOracle Privileged Account Managerコンソールを実行します。

- Oracle Privileged Account Managerアプリケーション・サーバーを実行するAppServerノードのその他のサーバー
(opam_server1)。

OracleAdminServer

9002

OracleAdminServerアプリケーション・サーバー(Oracle Identity NavigatorおよびOracle Privileged Account Managerコンソールのデプロイ先)のデフォルトのSSL非対応ポート。

OracleAdminServerによるSSLへの応答

9003

OracleAdminServerアプリケーション・サーバー(Oracle Identity NavigatorおよびOracle Privileged Account Managerコンソールのデプロイ先)のデフォルトのSSL対応ポート。

11.2.2 IBM WebSphereでのOracle Privileged Account Managerの開始

ここでは、Oracle Privileged Account ManagerコンソールをIBM WebSphereで使用する前に実行する必要があるタスクについて説明します。

内容は次のとおりです。

- 始める前に

- IBM WebSphereでのOracle Privileged Account Managerの構成

- 非TDEモードのセットアップ

11.2.2.1 始める前に

Oracle Privileged Account Managerを開始する前に、次の手順を実行してください。

Oracle Privileged Account Managerのアイデンティティ・ストアのシード処理

アイデンティティ・ストアのシード処理は必須のタスクです。必要なOracle Privileged Account Managerユーザーおよびグループを使用したアイデンティティ・ストアのシード処理の詳細は、『Oracle Fusion Middleware Oracle Privileged Account Manager管理者ガイド』のアイデンティティ・ストアの準備に関する項を参照してください。

11.2.2.2 IBM WebSphereでのOracle Privileged Account Managerの構成

Oracle Privileged Account ManagerをIBM WebSphereで構成するには、デプロイメント・マネージャが実行されているマシンから次の手順を実行してください。

1. コマンド・ウィンドウで次を設定します。

- UNIXの場合:

setenv WAS_HOME
setenv ORACLE_HOME
setenv DMGR_CELL_HOME

- Windowsの場合:

set WAS_HOME
set ORACLE_HOME
set DMGR_CELL_HOME

注意:

DMGR_CELL_HOMEを設定するときは、次のような値を使用します。

$WAS_HOME/profiles/<DMGR Profile Name>/config/cells/<Cell Name>

2. $ORACLE_HOME/opam/binディレクトリに移動し、
opam-was_config.shスクリプト(UNIXの場合)またはopam-was_config.batスクリプト(Windowsの場合)を実行します。
プロンプトが表示されたら、次の情報を入力します。

- デプロイメント・マネージャのホスト名

- デプロイメント・マネージャのSOAPコネクタ・ポート

- デプロイメント・マネージャのブートストラップ・アドレス・ポート

- WebSphere管理ユーザー名

- WebSphere管理パスワード

注意:

ポートの値はこのファイル内にあります。

$WAS_HOME/profiles/<Dmgr profile>/properties/portdef.props

3. opam-was_config.shスクリプト(UNIXの場合)または
opam-was_config.batスクリプト(Windowsの場合)を実行した後、次の手順を実行する必要があります。

1. デプロイメント・マネージャの停止

2. サーバーの起動

デプロイメント・マネージャの停止

IBM WebSphereのホームで次のディレクトリに移動してデプロイメント・マネージャを停止し、次のコマンドを入力します。

- UNIXの場合:

profiles/dmgr_profileName/bin/stopManager.sh

- Windowsの場合:

profiles\dmgr_profileName\bin\stopManager.bat

たとえば、UNIXオペレーティング・システムでは次のようになります。

/disk01/IBM/WebSphere/AppServer/profiles/Dmgr01/bin/stopManager.sh

注意:

stopManager.sh (またはstopManager.bat)コマンドをWAS_HOME/binディレクトリから実行している場合は、-profileNameパラメータを指定する必要があります。たとえば、UNIXオペレーティング・システムでは次のようになります。

WAS_HOME/bin/stopManager.sh -profileName dmgr_profileName

サーバーの起動

ノードおよびIBM WebSphereデプロイメント・マネージャを停止したら、第2.10項「タスク10: IBM WebSphereサーバーの起動」の説明に従ってデプロイメント・マネージャ、ノードおよびサーバーを起動できます。

注意:

他のサーバーを起動するために最後の手順を実行するときは、Oracle Privileged Account Managerサーバー名としてopam_server1を使用するようにしてください。

サーバーの起動後

- 第2.7項「タスク7: オプション: Oracle Privileged Account Managerデータ・ストアでのTDEの有効化(Oracle Privileged Account Managerユーザーのみ)」の説明に従って透過的データ暗号化(TDE)モードを有効にしている場合は、IBM WebSphereでのOracle Privileged Account Managerのインストールおよび構成は完了です。必要な手順はこれで終わりです。Oracle Privileged Account Managerの機能を確認できます。

- TDEモードを使用しない場合は、非TDEモードをセットアップするための手順を行う必要があります。第11.2.2.3項「非TDEモードのセットアップ」の手順に従ってください。

11.2.2.3 非TDEモードのセットアップ

注意:

Oracle Privileged Account ManagerはOracle Database TDE(透過的データ暗号化)モードで操作できます。セキュリティ強化のために、TDEモードを有効にしておくことを強くお薦めします。

TDEモードを無効化する場合は、フラグtdemodeをfalseに設定する必要があります。

注意:

ここで説明する手順は、第2.7項「タスク7: オプション: Oracle Privileged Account Managerデータ・ストアでのTDEの有効化(Oracle Privileged Account Managerユーザーのみ)」を行わなかった場合にのみ必要になります。

TDEモードを無効化するには次の手順を実行します。

1. 環境変数ORACLE_HOMEおよびJAVA_HOMEを設定します。

2. 次のスクリプトを実行します。
UNIXの場合:

ORACLE_HOME/opam/bin/opam.sh -url OPAM_Server_Url -x modifyglobalconfig
-propertyname tdemode -propertyvalue false -u
OPAM_APPLICATION_CONFIGURATOR_USER -p Password

OPAM_Server_URLは次の形式です。

https://OPAM_Managed_Server_Hostname:OPAM_Managed_Server_SSL_port/opam-basic

Windowsの場合:

ORACLE_HOME\opam\bin\opam.bat -url OPAM_Server_URL -x modifyglobalconfig
-propertyname tdemode -propertyvalue false -u
OPAM_APPLICATION_CONFIGURATOR_USER -p Password

OPAM_Server_URLは次の形式です。

https://OPAM_Managed_Server_Hostname:OPAM_Managed_Server_SSL_port/opam-basic

注意:

TDEモードは、Oracle Privileged Account Managerのインストールおよび構成の完了後いつでも有効または無効にできます。あとからTDEモードを変更する方法の詳細は、『Oracle Fusion Middleware Oracle Privileged Account Manager管理者ガイド』のディスク上のデータの保護に関する項を参照してください。

スクリプトの実行が終わったら、IBM WebSphereでのOracle Privileged Account Managerのインストールおよび構成は完了です。必要な手順はこれで終わりです。Oracle Privileged Account Managerの機能を確認できます。

11.3 Oracle Privileged Account Managerの認可の相違

ここではIBM WebSphereでのOracle Privileged Account Managerの認可について説明します。

11.3.1 管理ロールのタイプ

『Oracle Fusion Middleware Oracle Privileged Account Manager管理者ガイド』の「管理ロールのタイプ」セクションのほとんどの説明は、WebLogicとWebSphereのどちらの環境にも当てはまります。ただし、次の情報は、WebSphere環境のブートストラップ・ユーザーを理解する際にのみ必要になります。

インストール後、デフォルトの管理者はwasadminユーザー(ブートストラップ・ユーザーとも言います)で、このユーザーはAdministratorsグループのメンバーです。『Oracle Fusion Middleware Oracle Privileged Account Manager管理者ガイド』の表2-1に従ってユーザーを作成し、Oracle Privileged Account Managerの管理ロールに割り当てるには、wasadminユーザーを使用する必要があります。その後、これらのユーザーは、この表に説明されている管理タスクを実行できます。

注意:

デフォルトの管理者はこれらすべてのロールを自分自身に割り当てることができますが、一般的ではありません。

インストール後、wasadminユーザーをブートストラップ・ユーザーとして使用して、ユーザーをドメイン・アイデンティティ・ストアから表2-1に示されているOracle Privileged Account Managerの共通管理者ロールにマップできます。セキュリティ管理者ロールにマップされたユーザーは、他のユーザーに共通管理者ロールを割り当てることができ、後から現在の環境のwasadminユーザーを置き換えることができます。最初のユーザー・マッピングが完了した後、セキュリティ管理者ロールを、ドメイン・アイデンティティ・ストアに定義されている1人以上の管理者ユーザーにマップすることで、デフォルトの管理者ユーザーを置き換えます。

11.4 IBM WebSphereでのOracle Privileged Account Managerサーバーの追加と管理の相違

『Oracle Fusion Middleware Oracle Privileged Account Manager管理者ガイド』のOracle Privileged Account Manager Serverの追加および管理に関する章では、Oracle Privileged Account Managerサーバーの構成をはじめる前に、表4-1「参考資料」に記載のOracleの書籍を参照することを薦めています。

Oracle Privileged Account ManagerサーバーをIBM WebSphereに追加し、管理する場合、次の内容の詳細は、第9.1項「IBM WebSphereアイデンティティ・ストア」を参照してください。

- IBM WebSphereの概念および用語

- Oracle WebLogic Serverでのデフォルトの認証プロバイダの作成

- Oracle WebLogic ServerでのOVD認証プロバイダの構成

11.5 Oracle Privileged Account Managerの監査およびロギングの管理の相違

ここでは、IBM WebSphereでのOracle Privileged Account Managerの監査およびロギングの構成について説明します。

内容は次のとおりです。

- Oracle Privileged Account Managerの監査の構成

- Oracle Privileged Account Managerの基本ロギングの構成

11.5.1 Oracle Privileged Account Managerの監査の構成

IBM WebSphereサーバーでのファイル・ベース監査またはデータベース・ベース監査を構成する手順は、『Oracle Fusion Middleware Oracle Privileged Account Manager管理者ガイド』のOracle Privileged Account Managerでの監査の構成の項の説明と基本的には同じですが、次のような例外があります。

- ファイル・ベース監査とデータベース・ベース監査のどちらも、アプリケーション・サーバー・シェルの起動を求められたときは、WLSTではなくWSAdminを起動する必要があります。

- WebSphereはAudit.で始まるコマンドを実行します。WLST監査コマンド(getAuditPolicy、setAuditPolicy、getAuditRepositoryまたはsetAuditRepository)を使用するための手順を実行するときは、コマンド名の前にAudit.を付けるようにする必要があります。
たとえば、WebSphereのAudit.getAuditPolicy()はWebLogicのgetAuditPolicy()と同じです。

注意:

これらの手順の実行の詳細は、第8.2項「IBM WebSphereでのOAAMのレポートおよび監査の設定」を参照してください。Oracle Privileged Account Managerとほぼ同じ手順です。

11.5.2 Oracle Privileged Account Managerの基本ロギングの構成

IBM WebSphereサーバーでOracle Privileged Account Managerのロギングを構成する手順は、『Oracle Fusion Middleware Oracle Privileged Account Manager管理者ガイド』の基本ロギングの構成に関する項と基本的に同じですが、次の点に注意が必要です。

- WLSTを実行してコマンドを実行するのではなく、まずWSAdminシェルに入る必要があります。詳細は、次のWebサイトを参照してください。
http://pic.dhe.ibm.com/infocenter/wasinfo/v6r1/index.jsp?topic=%2Fcom.ibm.websphere.nd.doc%2Finfo%2Fae%2Fae%2Frxml_commandline.html

ただし、デフォルトのIBMバージョンのWSAdminではなく、OracleバージョンのWSAdminを起動してOracleコマンドのサポートを取得します。OracleバージョンのWSAdminは次の場所から起動できます。

IAM_HOME/common/bin

- WLSTコマンドを起動するには、各コマンドの前にOracleODLを付ける必要があります。たとえば、次のようなディレクトリです。

- getLogLevelコマンドをWLSTで使用するには、次を実行する必要があります。

getLogLevel(logger="oracle.idm.opam")

- このコマンドをWebSphereで使用するには、次を実行する必要があります。

OracleODL.getLogLevel(logger="oracle.idm.opam")

- Oracle Privileged Account Managerのロガー(oracle.idm.opamなど)によって生成されたログ・メッセージは、次の場所に格納されます。

$WAS_HOME/profiles/[ProfileName]/[ServerName]/logs/[AppServerName]/
[AppServerName]-diagnostic.log

11.6 IBM WebSphereでのOracle Privileged Account Managerの拡張構成タスクの実行の相違

ここでは、IBM WebSphereでOracle Privileged Account Managerの次の拡張構成タスクを実施する際の相違を説明します。

- Oracle Privileged Account ManagerをSSL経由でターゲット・システムと通信するように構成する際の違い

- ディスク上のデータを保護するときの違い

11.6.1 Oracle Privileged Account ManagerをSSL経由でターゲット・システムと通信するように構成する際の違い

SSLを介してターゲット・システムと安全に通信するには、Oracle Privileged Account Managerを実行しているIBM WebSphereインスタンスが、ターゲット・システムで使用されているSSL証明書を信頼する必要があります(Oracle Privileged Account Managerは実行されているIBM WebSphereコンテナからそのSSL構成を継承するため)。Oracle Privileged Account Managerを実行しているIBM WebSphereインスタンス(およびOracle Privileged Account Manager)にターゲット・システムのSSL証明書を信頼させるには、IBM WebSphereインスタンスで使用されているトラストストアに証明書をインポートする必要があります。

ターゲット・システムとOracle Privileged Account Manager間のSSL通信を有効にするには、次の手順を使用します。

1. ターゲット・システムのホスト・コンピュータからSSL証明書をエクスポートします。

注意:

SSL証明書をエクスポートする手順は、ターゲット・システムのタイプごとに異なります。手順の詳細は、使用しているターゲット・システムの製品ドキュメントを参照してください。

2. Oracle Privileged Account Managerを実行しているIBM WebSphereインスタンスが存在するマシンに証明書をコピーします。
Oracle Privileged Account Manager/Oracle Identity NavigatorコンソールとOracle Privileged Account Managerサーバーが異なるマシン上で実行されている場合、SSL証明書はOracle Privileged Account Managerサーバーのマシンにコピーする必要があります。

3. IBM WebSphereセルのトラストストアに証明書をインポートするには

1. IBM WebSphereコンソールにログインします。

2. 「Security」→「SSL certificate and key management」→「Key stores and certificates」→「CellDefaultTrustStore」→「Signer certificates」→「Add」を選択します。

3. 「Add」画面で「Alias」 フィールドにホスト名を入力します。

4. 「Data Type」を次のように指定します。

エクスポートした証明書

選択

BASE64でエンコードされた形式

Base 64 encoded ASCII Data

バイナリ形式

Binary DER data

5. IBM WebSphereが実行されているローカル・ファイル・システム上にインポートする証明書ファイルの位置を特定します。フル・パスおよびファイル名を「File Name」フィールドに入力します。

4. ファイルをインポートし、正しくインポートされていることを確認します。

注意:

IBM WebSphereでのOracle Fusion Middlewareセキュリティの管理の詳細は、第11章「IBM WebSphereでのOracle Privileged Account Managerの管理」を参照してください。

より一般的な内容および概念は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』を参照してください。

11.6.2 ディスク上のデータを保護するときの違い

初期インストール後、IBM WebSphere上のOracle Privileged Account ManagerのOracle Database透過的データ暗号化(TDE)モードを有効化または無効化する手順は、 『Oracle Fusion Middleware Oracle Privileged Account Manager管理者ガイド』のディスク上のデータの保護に関する項の説明とほとんど同じです。

唯一異なる点は、TDEモードの有効化に関する項とTDEモードの無効化に関する項の両方で、OPAM_Server_Urlを次の形式にする必要があることです。

https://OPAM_Managed_Server_Hostname:OPAM_Managed_Server_SSL_port/
opam-basic

11.7 Oracle Identity Managerとの統合時の違い

Oracle Privileged Account ManagerをOracle Identity Managementと統合するように構成している場合、CA証明書を取得し、インポートする際の手順が、『Oracle Fusion Middleware Oracle Privileged Account Manager管理者ガイド』のCA証明書の追加の説明とは少々異なります。

CA証明書を取得する際の違い

最初の手順でOPAMサーバーWebサービスに接続するよう指示されたときは、次のアドレスに接続する必要があります。

https://opamhost:opamSSLport/opam-basic

CA証明書をインポートする際の違い

IBM WebSphereトラストストアにCA証明書をインポートするには、次の手順に従います。

1. IBM WebSphereコンソールにログインします。

2. 「Security」→「SSL certificate and key management」→「Key stores and certificates」→「CellDefaultTrustStore」→「Signer certificates」→「Add」を選択します。

3. 「Add」画面で、Oracle Privileged Account Managerサーバーのホスト名を「Alias」フィールドに入力します。

4. Oracle Privileged Account ManagerサーバーのCA証明書(.pem)ファイルはBASE64でエンコードされた形式でエクスポートされているため、「Base 64 encoded ASCII Data」データ型を選択します。

5. IBM WebSphereが実行されているローカル・ファイル・システムでOracle Privileged Account ManagerサーバーCA証明書(.pem)ファイルの位置を特定します。フル・パスおよびファイル名を「File Name」フィールドに入力します。

6. .pemファイルをmaster configurationに保存します。

11.8 Oracle Privileged Account Managerコマンドライン・ツールおよびIBM WebSphereのRESTインタフェースの使用時の違い

IBM WebSphereでOracle Privileged Account Managerコマンドライン・ツールまたはRESTインタフェースを使用する場合は、次の相違に注意が必要です。

- Oracle Privileged Account ManagerのターゲットURLは次のとおりです。
https://opamhost:opamSSLport/opam-basic

このような違いがあるのは、コマンドライン・ツールおよびRESTインタフェースのみです。Oracle Privileged Account ManagerコンソールでOracle Privileged Account Managerサーバーを追加するときは、IBM WebSphereとWebLogicの両方に同じURLを使用します。

- OracleAdminServer (OPAMコンソールが実行される場所)のデフォルト・ポートは9002です。Oracle Privileged Account Manager管理対象サーバーのポート(18102)はIBM WebSphereでもWebLogicでも同じです。

11.9 IBM WebSphereでOracle Privileged Account Managerを使用する際の制限事項と既知の問題

ここでは、IBM WebSphereでOracle Privileged Account Managerの今回のリリースを使用するにあたっての制限事項または既知の問題を説明します。

- 制限事項

- 既知の問題

11.9.1 制限事項

IBM WebSphereでのOracle Privileged Account Managerの今リリースの使用にあたり、制限事項はありません。

11.9.2 既知の問題

ここでは、IBM WebSphereでOracle Privileged Account Managerを使用するうえでの既知の問題を説明します。

表11-2 IBM WebSphere上のOracle Privileged Account Managerの既知の問題

バグ#

問題

16074104

Oracle Privileged Account ManagerをIBM WebSphereで実行している場合、Oracle WebLogic Serverドメインに対応したCSFマッピングを追加できません。

同様に、Oracle Privileged Account ManagerをOracle WebLogic Serverで実行している場合、IBM WebSphereセルに対応したCSFマッピングを追加できません。

12 IBM WebSphereでのOracle Identity Navigatorの管理

この章では、IBM WebSphereでのOracle Identity Navigatorの管理について説明します。この章には次の項が含まれます:

- IBM WebSphereでのOracle Identity Navigatorの管理の相違

- IBM WebSphereでOracle Identity Navigatorを使用するうえでの制限事項

12.1 IBM WebSphereでのOracle Identity Navigatorの管理の相違

ここでは、Oracle Identity NavigatorをIBM WebSphere上で管理する際の相違について説明します。

- ニュース・フィードにアクセスするためのプロキシの構成

12.1.1 ニュース・フィードにアクセスするためのプロキシの構成

Oracle Identity Navigatorがファイアウォール内からOracleニュース・フィードにアクセスできるように、プロキシを指定する必要がある場合があります。Identity Management Discussion ForumsはSSLを使用しています。

プロパティを構成するには:

1. WebSphere管理コンソールで「Servers」→「Server Types」→「Application servers」→「OracleAdminServer」→「Java and Process Management」→「Process definition」→「Java Virtual Machine」→「Custom properties」に移動します。

2. 次を追加します。

-http.proxyHost=proxy_server_host
-http.proxyPort=proxy_server_port
-http.nonProxyHosts=non_proxy_hosts
-https.proxyHost=ssl_proxy_server_host
-https.proxyPort=ssl_proxy_server_port

次にセルのトラスト・ストアにフォーラムの証明書をインポートします。

フォーラムの証明書をインポートするには:

1. Internet ExplorerブラウザまたはChromeブラウザを使用して、証明書をhttps://forums.oracle.com/forums/rss/rssthreads.jspa?forumID=47にエクスポートします。

2. IBM WebSphere管理コンソールにログインします。

3. 「Security」→「SSL certificate and key management」→「Key stores and certificates」→「CellDefaultTrustStore」→「Signer certificates」→「Add」に移動します。

4. 別名をforums.oracle.com_certに設定します。

5. ファイル名を、手順1で取得したエクスポートされた証明書に設定します。これは、IBM WebSphereを実行しているローカル・ファイル・システム上のファイルを指している必要があります。

6. データ型を証明書と同じファイル形式に設定します。

- Base64でコード化された証明書: 「Base64-encoded ASCII data」を選択します。

- DERでコード化されたバイナリ形式の証明書: 「Binary DER data」を選択します。

サーバーを再起動する必要はありません。

12.1.2 シングル・サインオンの構成

IBM WebSphere環境でのシングル・サインオンの構成方法の詳細は、第6章「IBM WebSphereでのOracle Access Manager IDアサーションの管理」を参照してください。

12.2 IBM WebSphereでOracle Identity Navigatorを使用するうえでの制限事項

次の機能はこのリリースでサポートされていません。

- 製品の検出。「管理」タブの「製品登録」の「製品の検出」オプションは使用できません。

13 IBM WebSphereでのOracle Access Management Mobile and Socialの管理

この章では、IBM WebSphereでのOracle Access Management Mobile and Socialの管理について説明します。

この章には次の項が含まれます:

- IBM WebSphereでのMobile and Social WLSTコマンドの使用方法

- Oracle Adaptive Access Manager用のモバイル・サービスの構成

- インターネット・アイデンティティ・サービスをサポートするためのIBM WebSphereの構成

13.1 IBM WebSphereでのMobile and Social WLSTコマンドの使用方法

IBM WebSphere wsadminコマンドライン・インタフェースからOracle Access Managementコマンドを実行できます。詳細は、「Oracle Fusion Middlewareのwsadminコマンドの使用」を参照してください。

Oracle Access Managementコマンドは、WebLogic Scripting Toolコマンド・リファレンスに記載されています。Oracle Access Managementのコマンドの機能は、WebLogicでもWebSphereでも同じです。ただし、Mobile and Social wsadminコマンドを実行する場合は、コマンド名にMobile and Social idaas_commandsカテゴリ名を接頭辞として加える必要があります。例:

idaas_commands.createServiceProvider(...)

13.2 Oracle Adaptive Access Manager用のモバイル・サービスの構成

『Oracle Access Management管理者ガイド』の内容の多くは、WebSphereとWebLogicの両方の環境にも当てはまります。「モバイル・サービスの構成」の章の「Oracle Adaptive Access Manager用のモバイル・サービスの構成」を参照するときは、WebLogic管理ドメインの構成に関する項に記載されている手順のかわりに、次の変更された手順を使用してください。

13.2.1 OAAM管理のための管理者の作成

WebSphere管理コンソールからユーザーおよびグループを追加します。これを行うには、「Users and Groups」→「Manage Users/Manage Groups」の順にクリックします。詳細は、WebSphereのドキュメントを参照してください。

13.2.2 OAAMデータ・ソースのターゲットとしてのOracle Access Managementサーバーの追加

WebSphere管理コンソールを使用して、oaam_serverスコープに定義されているOAAM_SERVER_DSデータソースと同じ名前および値でWebSphereに新しいデータ・ソースを作成します。この新しいDSを、oam_serverがインストールされている管理対象サーバーのスコープ内に作成します。

注意:

OAAMのためにOAMドメインを拡張するには、OAMのインストール先でwas_config.shを実行し、既存のWebSphere Application Serverプロファイルを使用するオプションを選択します。

13.3 インターネット・アイデンティティ・サービスをサポートするためのIBM WebSphereの構成

ここでは、インターネット・アイデンティティ・サービスをサポートするために必要なIBM WebSphereの構成手順を説明します。

13.3.1 IBMトラスト・ストアへのCA証明書の追加

Mobile and Socialでインターネット・アイデンティティ・サービス用に適切なSSLサポートを提供するようWebSphereを構成するには、次の手順に従います。

トラスト・キーストアtrust.p12からデフォルトのIBM証明書をJDK cacertsキーストアにインポートします。こうすることで、 両方ともリライイング・パーティ(つまり、インターネット・アイデンティティ・サービス・プロバイダ)になり、Oracle Access ManagementコンソールでSSLを適切に使用できるようになります。

1. Mozilla Firefoxでは、インスタンスがインストールされているマシンの正しい値を使用して次のURLを開きます。
http://<ホスト名>:<ポート>/ibm/console

ブラウザにセキュリティ・ページが表示され、証明書の信頼を求められます。

2. 証明書を表示して、.der形式でファイルにエクスポートします。
必要に応じて、WebSphereがデプロイされているサーバーに.derファイルをコピーします。

3. WebSphere Application Server管理コンソールで、「Security」→「SSL certificate and key management」を選択します。

4. OAMをデプロイするセルとノードの両方のレベルについて、トラスト・ストアのファイル名設定をtrust.p12から、デフォルトのIBM WebSphere JDKに付属のcacertsファイルに変更します。通常、このファイルは次の場所にあります。
<WAS_HOME>/java/jre/lib/security/cacerts

変更を保存します。

5. 「Signer Certificates」をクリックして、署名者の証明書がすべてcacertsファイル内にあることを確認します。

6. 「Add」をクリックして別名を入力し、手順2でエクスポートした.derファイルへのパスを入力します。
設定を保存します。

7. OAM管理対象サーバーとOracle Access Managementコンソールをホストしているサーバーの両方を再起動します。

14 IBM WebSphereでのAccess Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合

この章では、IBM WebSphereでAccess Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerを統合する方法を説明します。次の統合について説明します。

- IBM WebSphereでのAccess ManagerとOracle Identity Managerの統合

- IBM WebSphereでのAccess ManagerとOAAMの統合

- IBM WebSphereでのAccess Manager、OAAMおよびOIMの統合

14.1 IBM WebSphereでのAccess ManagerとOracle Identity Managerの統合

この項では、IBM WebSphereでIBM HTTP Server (IHS) WebGate 11gを使用してAccess ManagerとOracle Identity Managerを統合する方法に関する情報を示しています。

この項の内容は次のとおりです。

- 統合ロードマップ

- 追加のIHS Webサーバー・リバース・プロキシの構成(オプション)

- アイデンティティ・ストアの構成

- OIMサーバーの再起動

- OAM 11g SSOエージェント・アーティファクトのコピー

- WebSphere上のOIMにリクエストをルーティングするようWebサーバーを構成する方法

14.1.1 統合ロードマップ

IBM WebSphereでAccess ManagerをOracle Identity Managerに統合するプロセスには、次の高レベルのタスクが含まれます。

表14-1 IBM WebSphereでのAccess ManagerとOracle Identity Managerの統合フロー

手順

タスク

情報

1

WebSphereサーバーにOracle Identity Managerをインストールします。

詳細は、「Oracle Identity and Access ManagementのIBM WebSphereでのインストールおよび構成」を参照してください。

2

Oracle Identity Managementに対するLDAP同期を有効にします。

詳細は、次を参照してください。

- OIMサーバーの構成に関する項、

- LDAP同期を有効にするための前提条件の実行に関する項および

- 「Oracle Virtual Directoryでのアダプタの作成」

(すべて『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』内)

3

WebSphereサーバーにOracle Access Managementをインストールします。

詳細は、「Oracle Identity and Access ManagementのIBM WebSphereでのインストールおよび構成」を参照してください。

必要に応じて、Oracle Access ManagementをOracle Identity Managerと同じWebSphereセルにインストールできます。

4

IBM HTTP Server (IHS) 7.0をインストールします。

IBM WebサイトからIBM HTTP Serverバージョン7.0.0.0をダウンロードします。デフォルト値を使用してIHS 7をインストールします。

5

IHS 11g Webgate for OAMをインストールして構成します。

詳細は、WebGate for Oracle Access ManagementのインストールのIHS 11g Webgate for OAMのインストールおよび構成に関する項を参照してください。

IBM HTTP Server (IHS)ホストにIHS 11g Webgateをインストールします。

6

各WebSphere Application Serverマシンに、WebServer Application Server 7.0用のWebSphereプラグインをインストールします。

IBM Webサイトから、WebSphere Application Server 7.0用のWebServerプラグインをダウンロードします。デフォルト値を使用してこのソフトウェアをインストールします。

7

IHS Webサーバー・リバース・プロキシを追加します。

詳細は、「追加のIHS Webサーバー・リバース・プロキシの構成(オプション)」を参照してください。

8

アイデンティティ・ストアを構成します。

詳細は、「アイデンティティ・ストアの構成」を参照してください。

9

OAM TAI構成ファイルを構成します。

詳細は、「OAM TAI構成ファイルの構成」を参照してください。

10

OIM WebSphereセル内のすべてのサーバーを再起動します。

詳細は、「OIMサーバーの再起動」を参照してください。

11

OAM 11g SSOエージェント・アーティファクトをコピーします。

詳細は、「OAM 11g SSOエージェント・アーティファクトのコピー」を参照してください。

12

Oracle Identity ManagerにリクエストをルーティングするようIHSを構成します。

詳細は、「WebSphere上のOIMにリクエストをルーティングするようWebサーバーを構成する方法」を参照してください。

14.1.2 追加のIHS Webサーバー・リバース・プロキシの構成(オプション)

この項の次の手順を実行して、リバース・プロキシとして使用する追加のIHS Webサーバーを構成します。

1. adminctlコマンドを使用して、ルート・ユーザーとしてIBM HTTP Serverを起動します。
bin/adminctl start

2. WebSphere管理コンソールを開きます。
詳細は、IBM HTTP Serverに関するIBMのドキュメントを参照してください。

3. 「Servers」→「Server Types」→「Web servers」を選択します。
「New」をクリックして、WebSphereに新規Webサーバーを追加します。

4. Webサーバー名、タイプ、ホスト名およびプラットフォームを指定して、「Next」をクリックします。

5. 「Select a Web server template」画面でテンプレート名を選択します。

6. IBM HTTP ServerとIBM HTTP Server管理サーバーのプロパティを入力して、「Next」をクリックします。

7. 新規Webサーバーのプロパティを確認して、「Finish」をクリックします。

8. 新規作成したWebサーバーを選択して、「Generate Plug-in」をクリックします。
次に、「Propagate Plug-in」をクリックします。

9. 「Save」をクリックして、構成をマスター構成に保存します。

10. 新規Webサーバーを起動します。

14.1.3 アイデンティティ・ストアの構成

アイデンティティ・ストアをAccess Manager、Oracle Identity ManagementおよびWebSphereで使用できるように構成する必要があります。必要なユーザーおよびグループがシードされる必要があります。

アイデンティティ・ストアの構成にはidmConfigToolを使用します。

注意:

idmConfigToolの詳細は、Oracle Management Suite統合ガイドの「idmConfigToolコマンドの使用」という章を参照してください。次の手順では、その章に記載されている概念情報を理解していることが前提となっています。

14.1.3.1 idmConfigToolの環境変数の設定

idmConfigToolを実行する前に、次の環境変数を設定します。

Oracle Identity ManagerおよびOracle Access Managementが別々のWebSphereセルにインストールされている場合は、セルごとに環境変数を設定します。

変数

設定値

MW_HOME

インストールのMiddlewareホームのフルパスに値を設定します。

ORACLE_HOME

Oracleホームのフルパスに設定します。IDM統合の場合は、Oracle_IDM1に設定します。

APPSERVER_TYPE

wasに設定します。

WAS_HOME

WebSphereアプリケーション・サーバー・ホーム・ディレクトリのフルパスに値を設定します。例:

/WASSH/WebSphere/AppServer

JAVA_HOME

IBM JDKのフルパスに値を設定します。例:

/WASSH/WebSphere/AppServer/java

重要: JDKではなく、IBM JDKを使用してください。

WAS_DMGR_PROFILE_HOME

デプロイメント・マネージャ・プロファイルのホーム・ディレクトリに設定します。

デプロイメント・マネージャは、管理対象のアプリケーション・サーバーのセルにアプリケーションをデプロイします。プロファイルによって実行時環境が定義されます。プロファイルには、サーバーが実行時環境で処理するすべての構成可能ファイルが含まれます。

絶対パスを設定します。例:

/WASSH/WebSphere/AppServer/profiles/Dmgr01

14.1.3.2 idmConfigToolの実行

コマンド・プロンプトで、次のidmConfigToolコマンドをこの順序で実行します。

コマンド構文およびプロパティ・ファイル使用の詳細は、「idmConfigToolコマンドの使用」の章の構文と使用方法に関する項を参照してください。

1. Oracle Identity Manager、SOAおよびOracleAdminServerサーバー、さらにOIM WebSphereセルのNodeAgentを停止します。
この手順は、WebSphere Application Serverのドキュメントを参照してください。

2. idmCfgToolPropsディレクトリで、preConfigIDStore.propsファイルを見つけます。preConfigIDStore.propsプロパティ・ファイルの例は、「idmConfigToolコマンドの使用」の章を参照してください。
次のように、OAM WASからpreConfigIDStoreコマンドを実行します。

./idmConfigTool.sh -preConfigIDStore input_file=/idmCfgToolProps/preConfigIDStore.props

3. prepareIDStore mode=WASコマンドを実行して、wasadminユーザーを作成します。
このコマンドのプロパティは、IDSTORE_WASADMINUSERプロパティが指定されることを除いて、prepareIDStore=WLSコマンドのプロパティ・ファイルと同様です。

次にサンプルのプロパティ・ファイルを示します。

IDSTORE_HOST : xyz1234.us.example.com
IDSTORE_PORT : 3060
IDSTORE_BINDDN : cn=orcladmin
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_WASADMINUSER: wasadmin
IDSTORE_USERSEARCHBASE: cn=Users,dc=us,dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=us,dc=example,dc=com
IDSTORE_SEARCHBASE: dc=us,dc=example,dc=com

プロパティ・ファイルを作成して、OIM WASセルからこのコマンドを実行します。この例では、プロパティ・ファイルの名前はprepareIDStore.propsです。

./idmConfigTool.sh -prepareIDStore mode=WAS input_file=/idmCfgToolProps/prepareIDStore.props

4. OAM WASセルからprepareIDStore mode=OAMコマンドを実行します。

./idmConfigTool.sh -prepareIDStore mode=OAM input_file=/scratch/idmCfgToolProps/prepareIDStore.props.oam.template

5. プロパティ・ファイルを作成して、OIM WASセルからprepareIDStore mode=OIMコマンドを実行する準備を行います。
次にサンプルのプロパティ・ファイルを示します。

IDSTORE_HOST: xyz5678.us.example.com
IDSTORE_PORT: 3060
IDSTORE_BINDDN: cn=orcladmin
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_USERSEARCHBASE: cn=Users,dc=us,dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=us,dc=example,dc=com
IDSTORE_SEARCHBASE: dc=us,dc=example,dc=com
IDSTORE_SYSTEMIDBASE: cn=systemids,dc=us,dc=example,dc=com
IDSTORE_OIMADMINUSER: oimLDAP
IDSTORE_OIMADMINGROUP: OIMAdministrators
OIM_DB_URL: jdbc:oracle:thin:@xyz5678.us.example.com:5522:wasdb1
OIM_DB_SCHEMA_USERNAME: dev_oim
OIM_WAS_CELL_CONFIG_DIR: /wassh/WebSphere/AppServer/profiles/Dmgr04/config/cells/xyz5678Cell04/fmwconfig

prepareIDStore mode=OIMコマンドの次のプロパティは、WebSphereに固有です。

パラメータ

説明

OIM_DB_URL

OIM DB接続URL

OIM_DB_SCHEMA_USERNAME

OIM DBスキーマ・ユーザー

OIM_WAS_CELL_CONFIG_DIR

OIMセル内のfmwconfigディレクトリの場所

プロパティ・ファイルを作成して保存します。

OIM WASセルからコマンドを実行します。この例では、プロパティ・ファイルの名前はprepareIDStore.props.oim.templateです。

./idmConfigTool.sh -prepareIDStore mode=OIM input_file=/idmCfgToolProps/prepareIDStore.props.oim.template

6. プロパティ・ファイルを作成して、OAM WASセルからconfigOAMコマンドを実行する準備を行います。
次にサンプルのプロパティ・ファイルを示します。

WLSHOST: abc1234.us.example.com
WLSPORT: 9810
WLSADMIN: orcladmin
WLSPASSWD: welcome1
IDSTORE_HOST: xyz5678.us.example.com
IDSTORE_PORT: 3060
IDSTORE_DIRECTORYTYPE:OID
IDSTORE_BINDDN: cn=orcladmin
IDSTORE_USERNAMEATTRIBUTE: cn
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_SYSTEMIDBASE: cn=systemids,dc=us,dc=example,dc=com
IDSTORE_USERSEARCHBASE: cn=Users,dc=us,dc=example,dc=com
IDSTORE_SEARCHBASE: dc=us,dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=us,dc=example,dc=com
IDSTORE_OAMSOFTWAREUSER: oimLDAP
IDSTORE_OAMADMINUSER: oamadmin
PRIMARY_OAM_SERVERS: abc1234.us.example.com:5575
WEBGATE_TYPE: ohsWebgate11g
ACCESS_GATE_ID: oimwebgate
OAM11G_IDM_DOMAIN_OHS_HOST:abc1234.us.example.com
OAM11G_IDM_DOMAIN_OHS_PORT:7777
OAM11G_IDM_DOMAIN_OHS_PROTOCOL:http
OAM11G_WG_DENY_ON_NOT_PROTECTED: false
OAM_TRANSFER_MODE: open
OAM11G_OAM_SERVER_TRANSFER_MODE:open
OAM11G_IDM_DOMAIN_LOGOUT_URLS: /console/jsp/common/logout.jsp,/em/targetauth/emaslogout.jsp
COOKIE_DOMAIN: .us.example.com
OAM11G_IDSTORE_ROLE_SECURITY_ADMIN: OAMAdministrators
OAM11G_SSO_ONLY_FLAG: false
OAM11G_OIM_INTEGRATION_REQ: true
OAM11G_IMPERSONATION_FLAG:true
OAM11G_SERVER_LBR_HOST:abc1234.us.example.com
OAM11G_SERVER_LBR_PORT:14100
OAM11G_SERVER_LBR_PROTOCOL:http
COOKIE_EXPIRY_INTERVAL: 120
OAM11G_OIM_OHS_URL:http://tx401alu.us.example.com:7777
OAM11G_SERVER_LOGIN_ATTRIBUTE: uid

次の表は、WebSphereに適用されるときのconfigOAMコマンドのプロパティを示しています。

パラメータ

説明

WLSHOST

WebSphere Application Serverホスト

WLSPORT

WebSphere Application Serverブートストラップ・ポート

WLSADMIN

OAM WebSphere管理コンソールのログインID

WLSPASSWD

(オプション)OAMコンソール/WebSphere管理コンソールのログイン・パスワード。セキュリティ上の理由から、プロパティ・ファイルにパスワードを保存しないでください。

プロパティ・ファイルを作成して保存します。

OAM WASセルからコマンドを実行します。この例では、プロパティ・ファイルの名前はoamcfg.propsです。

./idmConfigTool.sh -configOAM input_file=/oamcfg.props

7. 仮想ホスト構成を更新します。
OAMホスト上のWebSphereコンソールで、「Environment」→「Virtual Hosts」→「default_host」→「Host Aliases」を選択します。

新規IBM HTTP Serverホストおよびポートを追加して、Oracle Access Management (OAM)サーバーを再起動します。

8. プロパティ・ファイルを作成して、idmConfigTool.sh -configOIMコマンドを実行する準備を行います。
次にサンプルのプロパティ・ファイルを示します。

LOGINURI: /${app.context}/adfAuthentication
LOGOUTURI: /oamsso/logout.html
AUTOLOGINURI: None
ACCESS_SERVER_HOST: abc1234.us.example.com
ACCESS_SERVER_PORT: 5575
ACCESS_GATE_ID: oimwebgate
COOKIE_DOMAIN: .us.example.com
COOKIE_EXPIRY_INTERVAL: 120
OAM_TRANSFER_MODE: OPEN
WEBGATE_TYPE: ohsWebgate10g
SSO_ENABLED_FLAG: true
IDSTORE_PORT: 3060
IDSTORE_HOST: xyz5678.us.example.com
IDSTORE_DIRECTORYTYPE: OID
IDSTORE_ADMIN_USER: cn=orcladmin
IDSTORE_USERSEARCHBASE: cn=Users,dc=us,dc=example,dc=com
IDSTORE_GROUPSEARCHBASE: cn=Groups,dc=us,dc=example,dc=com
MDS_DB_URL: jdbc:oracle:thin:@xyz5678.us.example.com:5522:wasdb1
MDS_DB_SCHEMA_USERNAME: dev_mds
WLSHOST: xyz5678.us.example.com
WLSPORT: 9809
WLSADMIN: wasadmin
DOMAIN_NAME: IDMDomain
OIM_MANAGED_SERVER_NAME: oim_server1
DOMAIN_LOCATION: /IDMPS2/user_projects/domains/IDMDomain
IDSTORE_LOGINATTRIBUTE: uid
IDSTORE_SEARCHBASE: dc=us,dc=example,dc=com
OIM_WEB_SERVER_HOST: tx401alu.us.example.com
OIM_WEB_SERVER_PORT: 7777
OAM11G_WLS_ADMIN_HOST: abc1234.us.example.com
OAM11G_WLS_ADMIN_PORT: 9810
OAM11G_WLS_ADMIN_USER: wasadmin

このプロパティ・ファイルには、次の注意事項があります。

- ACCESS_SERVER_PORTは、Access ManagerのNAPポートである必要があります。

- OAMサーバーが簡易モードを使用してリクエストを受け入れるように構成されている場合は、OAM_TRANSFER_MODEをSIMPLEに設定します。それ以外の場合は、OAM_TRANSFER_MODEをOPENに設定します。

- WEBGATE_TYPEを、Webgateバージョン11を使用している場合はohsWebgate11gに、Webgateバージョン10を使用している場合はohsWebgate10gに設定します。

- IDSTORE_PORTは、アイデンティティ・ストアとしてOracle Internet Directoryを使用している場合、Oracle Internet Directoryポートに設定します。それ以外の場合は、Oracle Virtual Directoryポートに設定します。

- IDSTORE_HOSTは、アイデンティティ・ストアとしてOracle Internet Directoryを使用している場合、そのOracle Internet Directoryホストまたはロード・バランサの名前に設定します。それ以外の場合は、Oracle Virtual Directoryホストまたはロード・バランサの名前に設定します。

- IDSTORE_DIRECTORYTYPEは、Oracle Virtual Directoryサーバーを使用して非OIDディレクトリまたはOracle Internet Directoryに接続している場合、OVDに設定します。Oracle Internet Directory内にアイデンティティ・ストアがあり、Oracle Virtual Directoryを介さず直接これにアクセスしている場合は、OIDに設定します。

- この場合のMDS_DB_URLは、単一インスタンス・データベースを表します。@記号の後に続く文字列は、使用している環境に合った正しい値にする必要があります。SIDは、サービス名ではなく実際のSIDにする必要があります。MDS_URLは、単一のインスタンス・データベースを使用している場合、jdbc:oracle:thin:@DBHOST:1521:SIDに設定します。

- IDSTORE_ADMIN_USERの値には、ユーザーの完全なLDAP DNを含める必要があります。エントリは、"oamadmin"のみではなく、"cn=oamadmin,cn=Users,dc=myhost,dc=mycompany,dc=com"のように指定する必要があります。

- WLSPORTを、Oracle Identity Manager (OIM)のWebSphereブートストラップ・ポートに設定します。

- WLSADMINを、OIM WebSphereセルに構成されているプライマリ管理ユーザー名に設定します。これは、デフォルトでwasadminに設定されます。configOIMコマンドが再実行されている場合は、OIM WebSphereセルに構成されている現在のプライマリ管理ユーザー名を指定します。

- DOMAIN_NAMEをWebSphereセル名に設定します。

- DOMAIN_LOCATIONをセル・ホームに設定します。例:
<WAS_HOME>/profiles/Dmgr01/config/cells/<host name>

- OAM11G_WLS_ADMIN_PORTを、Oracle Access Management (OAM)のWebSphereブートストラップ・ポートに設定します。

- OAM11G_WLS_ADMIN_USERを、OAM WebSphereセルに構成されているプライマリ管理ユーザー名に設定します。

注意:

Oracle Identity Manager (OIM)とOracle Access Management (OAM)が2つの異なるWebSphereセルに構成されている場合は、次のプロパティを指定する必要があります。

- OAM11G_WLS_ADMIN_HOST

- OAM11G_WLS_ADMIN_PORT

- OAM11G_WLS_ADMIN_USER

OIMとOAMが同じWebSphereセルに含まれている場合は、これらのプロパティを指定する必要はありません。

configOIMコマンドの次のプロパティは、WebSphereに固有です。

パラメータ

説明

IDSTORE_SEARCHBASE

IDストア検索ベース

OIM_WEB_SERVER_HOST

IBM HTTP Server (IHS)ホストまたはOracle HTTP Server (OHS)ホスト

OIM_WEB_SERVER_PORT

IBM HTTP Server (IHS)ポートまたはOracle HTTP Server (OHS)ポート

プロパティ・ファイルを作成して保存します。

OIM WASセルからコマンドを実行します。この例では、プロパティ・ファイルの名前はoimcfg.propsです。

./idmConfigTool.sh -configOIM input_file=/oimcfg.props

OIM/OAMのWLSパスワードの入力を求められたら、対応するWebSphere dmgr管理者ユーザーのパスワードを入力してください。

- WLSPASSWDを求められた場合は、OIM WebSphere管理者パスワードを入力します(例: welcome1)。

- OAM11G_WLS_ADMIN_PASSWDを求められたら、OAM WebSphere管理者パスワードを入力します(例: welcome1)。

14.1.3.3 OAM TAI構成ファイルの構成

使用している環境にoamtai.xmlを構成します。詳細は、第6.9.5.2項「OAM TAI構成ファイルの構成」を参照してください。

14.1.4 OIMサーバーの再起動

OIM WASセル内のすべてのサーバーを再起動します。OIM Dmgrおよび同期ノードを再起動して、nodeagentおよびその他のサーバーを次の順序で起動します。

注意: 次のサンプル・コマンドのホスト名、ポート、ユーザー名およびパスワードを適宜変更してください。

OIM Dmgrを停止してから起動します。

/WASSH/WebSphere/AppServer/profiles/Dmgr01/bin/stopManager.sh -username wasadmin -password welcome1

/WASSH/WebSphere/AppServer/profiles/Dmgr01/bin/startManager.sh

同期ノードを再起動します。

次のサンプル・コマンドで示されている値を、使用している環境の値に置き換えてください。

/WASSH/WebSphere/AppServer/profiles/Custom01/bin/syncNode.sh deploymgrHost.us.example.com 8881 -username wasadmin -password welcome1

- deploymgrHost.us.example.com: OIMセルのデプロイメント・マネージャのホスト名を指定します。

- 8881: OIMセルのデプロイメント・マネージャのSOAPポート(SOAP_CONNECTOR_ADDRESS)を指定します。

- wasadmin: OIM WebSphereセルに構成されているプライマリ管理ユーザー名を指定します。

- password: プライマリ管理ユーザーのパスワードを指定します。

ノード・エージェントとサーバーを起動します。

次のようにサーバーを起動します。

/WASSH/WebSphere/AppServer/profiles/Custom01/bin/startNode.sh

/WASSH/WebSphere/AppServer/profiles/Custom01/bin/startServer.sh soa_server1

/WASSH/WebSphere/AppServer/profiles/Custom01/bin/startServer.sh oim_server1

/WASSH/WebSphere/AppServer/profiles/Custom01/bin/startServer.sh OracleAdminServer

14.1.5 OAM 11g SSOエージェント・アーティファクトのコピー

次の手順を実行します。

1. configOAMの実行後に作成されたOAM 11g SSOエージェント・アーティファクトをIHS WebGate構成の場所にコピーします。
たとえば、次のOAM 11g SSOエージェント・アーティファクトが、configOAMの実行後に作成されます。

<WAS_HOME>/profiles/Custom01/output/<webgate name>/

これらのアーティファクトを次の場所にコピーする必要があります。

<WebGate Instance Directory>/webgate/config

2. IBM HTTP Server (IHS)またはOracle HTTP Server (OHS)を再起動します。

14.1.6 WebSphere上のOIMにリクエストをルーティングするようWebサーバーを構成する方法

1. IBM HTTP Server (IHS)またはOracle HTTP Server (OHS)のhttpd.confファイルを開いて、WebSpherePluginConfigエントリを見つけます。例:

WebSpherePluginConfig /scratch/mw/was-plugin/config/ohsSLC/plugin-cfg.xml

2. 次のファイルを開きます。

/mw/was-plugin/config/ohsSLC/plugin-cfg.xml

このファイルを次のように編集します。

1. UriGroup要素を見つけ、次のエントリを追加します。

<Uri Name="/identity/">
<Uri Name="/sysadmin/">
<Uri Name="/oim/">

2. VirtualHostGroup要素を見つけ、default_hostのVirtualHostGroupに次のようなエントリが含まれていることを確認します。
<VirtualHost Name=":XXXX">

ここで、XXXXはHTTPサーバー・ポートです(例: 7777)。

3. ServerCluster要素を見つけ、Transport要素に、適切なOIMおよびOAMのWebSphereホストおよびポートのプロパティが構成されていることを確認します。

<Transport Hostname="sdf1234.us.example.com" Port="14000" Protocol="http"/>
<Transport Hostname="sdf1234.us.example.com" Port="14001" Protocol="https">
<Property name="keyring" value="/scratch/aime1/ihs-webgate/Plugins/etc/plugin-key.kdb"/>
<Property name="stashfile" value="/scratch/aime1/ihs-webgate/Plugins/etc/plugin-key.sth"/>
</Transport>

<Transport Hostname="jkl555.us.example.com" Port="14100" Protocol="http"/>
<Transport Hostname="jkl555.us.example.com" Port="14101" Protocol="https">
<Property name="keyring" value="/scratch/aime1/ihs-webgate/Plugins/etc/plugin-key.kdb"/>
<Property name="stashfile" value="/scratch/aime1/ihs-webgate/Plugins/etc/plugin-key.sth"/>
</Transport>

説明:

"sdf1234.us.example.com"は、OIMホストです。

"14000"は、OIM HTTPポートです。

"14001"は、OIM HTTPSポートです。

"jkl555.us.example.com"は、OAMホストです。

"14100"は、OAM HTTPポートです。

"14101"は、OAM HTTPSポートです。

3. IBM HTTP Server (IHS)またはOracle HTTP Server (OHS)を再起動します。

14.2 IBM WebSphereでのAccess ManagerとOAAMの統合

Access ManagerとOAAMの統合の概要は、『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』の「Access ManagerとOracle Adaptive Access Managerの統合」および「Access Manager、OAAMおよびOIMの統合」の章を参照してください。IBM WebSphereとWebLogicにおける設定の相違については、この項に記載してあります。

14.2.1 OAAMとAccess Managerとの基本統合の構成

Access ManagerとのOAAMの基本統合は、ネイティブ統合です。Access Managerは、共有ライブラリを通してOracle Adaptive Access Managerと統合されます。共有ライブラリでは、Oracle Adaptive Access Managerのルール・エンジンおよびランタイム機能が提供されます。ライブラリを通してOAAMランタイム機能を使用できるため、このデプロイメントにOAAMサーバーは必要ありません。

14.2.1.1 Access ManagerとのOAAMの基本統合の前提条件

Access ManagerをOracle Adaptive Access Managerとともに構成する前に、依存コンポーネントを含めて、必要なコンポーネントをすべてインストールし、統合タスクに備えて環境を構成しておく必要があります。統合タスクを実行する前にインストールおよび構成が必要なコンポーネントの詳細は、『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』のAccess ManagerとのOAAMの基本統合の前提条件に関する項を参照してください。

WebLogicではなく、IBM WebSphereを使用してOracle Fusion Middlewareをインストールおよび構成します。先にIBM WebSphereをインストールして(構成はしない)、IBM WebSphereの最新の修正パックを適用しておく必要があります。

14.2.1.2 OAAMBasicスキームを使用した認証ポリシーのリソースの保護

IDMDomainAgentは、IBM WebSphereでは使用されません。新規Webゲート・エージェントを登録する必要があります。認証スキームの管理の詳細は、『Oracle Fusion Middleware Oracle Access Manager with Oracle Security Token Service管理者ガイド』の「認証および共有ポリシー・コンポーネントの管理」の章を参照してください。エージェントの登録に関して、より詳細な説明へのリンクが含まれる一般情報は、『Oracle Fusion Middleware Oracle Access Manager with Oracle Security Token Service管理者ガイド』の「エージェントと登録の概要」の章を参照してください。

14.2.1.3 OAAM管理コンソールにログインする権限を持つユーザーの作成

デフォルトで、OAAM管理コンソールにログインする適切な権限を持つユーザーはありません。OAAM管理コンソールにログインするための適切な権限があるユーザーを作成し、必要なグループをそのユーザーに付与する必要があります。IBM WebSphereでのユーザーおよびグループの作成の詳細は、IBM WebSphereのドキュメントを参照してください。ユーザーおよびグループは、IBM WebSphereセルに構成されているLDAPディレクトリに定義する必要があります。OAAMユーザーの例として、oaamadminがあります。OAAMのロールの詳細は、第8.1.3項「OAAM管理コンソールにログインする権限を持つユーザーの作成」を参照してください。

14.2.1.4 oam-config.xmlの変更

oam-config.xmlファイルを見つけて、手動で変更します。oam-config.xmlファイルは、Access Manager関連のシステム構成データをすべて含んでおり、was_profile_dir/config/cells/cell_name/fmwconfigディレクトリにあります。たとえば、次のようなディレクトリです。

/scratch/xyz/IBM/WebSphere/AppServer/profiles/Dmgr04/config/cells/adc2170813Cell02/fmwconfig

次の例に示されているように、OAAMEnabledプロパティをtrueに設定します。

<Setting Name="OAAM" Type="htf:map">
<Setting Name="OAAMEnabled" Type="xsd:boolean">true</Setting>
<Setting Name="passwordPage" Type="xsd:string">/pages/oaam/password.jsp</Setting>
<Setting Name="challengePage" Type="xsd:string">/pages/oaam/challenge.jsp</Setting>
<Setting Name="registerImagePhrasePage" Type="xsd:string">/pages/oaam/registerImagePhrase.jsp</Setting>
<Setting Name="registerQuestionsPage" Type="xsd:string">/pages/oaam/registerQuestions.jsp</Setting>

14.2.1.5 OAAM管理サーバーの起動

OAAM管理サーバーを起動して、新たに作成した管理対象サーバーをドメインに登録します。

1. コマンド・プロンプトを開き、次のbinディレクトリに変更します。
例:

WAS_HOME/profiles/Custom01/bin

2. 次のコマンドを入力します。

./startServer.sh oaam_admin_server

OAAM管理サーバーのデフォルトのサーバー名は、oaam_admin_server1です。

14.2.1.6 OAAMスナップショットのインポート

Oracle Adaptive Access Managerには、ポリシー、ルール、チャレンジ質問、依存コンポーネントおよび構成のフル・スナップショットが付属しています。このスナップショットは、OAAMの最小構成で必要となります。『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』の手順に従って、システムにスナップショットをインポートします。

14.2.1.7 OAAM管理サーバーのシャットダウン

OAAM管理サーバーをシャットダウンします。

1. コマンド・プロンプトを開いて、アプリケーション・サーバーのbinディレクトリに変更します。
例:

WAS_HOME/profiles/Custom01/bin

2. 次のコマンドを入力します。

./stopServer.sh oaam_admin_server -username username -password password

OAAM管理サーバーのデフォルトのサーバー名は、oaam_admin_server1です。

14.2.1.8 データソースの作成

IBM WebSphere管理コンソールを使用して、JNDI名がjdbc/OAAM_SERVER_DB_DSのJDBCデータソースを作成します。データソースは、セル・レベルで作成する必要があります。必ずセルの有効範囲内でOAAM管理対象サーバーを選択します。IBM WebSphereでのデータソース作成の詳細は、第3.2.6項「IBM WebSphereセルでのデータソースの作成」を参照してください。

14.2.1.9 共有ライブラリのデプロイ

共有ライブラリは、複数のアプリケーションで使用されるファイルです。Access Managerでは、Access ManagerとのOAAMの基本統合内の共有ライブラリが使用されるため、Access Managerがデプロイされているアプリケーションまたは管理対象サーバーの有効範囲内に共有ライブラリを作成する必要があり、Access Managerからこの共有ライブラリを参照する必要があります。

14.2.1.9.1 共有ライブラリの作成

複数のアプリケーションでライブラリ・ファイルを使用できるようにするには、次の手順に従って共有ライブラリを作成します。

1. IBM WebSphere管理コンソールにログインします。

2. コンソールのナビゲーション・ツリーで、「Environment」を開き、「Shared libraries」を選択します。

3. 「Shared Libraries」ページで、「Show scope selection drop-down list with the all scopes」オプションを選択し、共有ライブラリの有効範囲を選択して「Apply」をクリックします。たとえば、Access Managerの場合、サーバーの有効範囲としてOracle Access Managerの有効範囲を選択します。

4. 表の上の「Preferences」で「New」ボタンをクリックし、手順4で選択した有効範囲に新規共有ライブラリを作成します。

5. 共有ライブラリの設定ページの「Name」フィールドで、共有ライブラリの名前を指定します。たとえば、oaam_native_shared_libraryと指定します。

6. 「Classpath」テキスト・ボックスで、次のディレクトリに存在するすべてのJARファイルの絶対パスを指定します。

MW_HOME/Oracle_IDM1/oaam/oaam_libs/was_native_jar

これらは、製品で共有ライブラリのクラスおよびリソースの検索に使用するパスです。

注意:

エントリごとに新規行を使用する必要があり、";"や":"のようなパス・セパレータを使用しないでください。

7. 「OK」をクリックして、「Save」をクリックします。

14.2.1.9.2 アプリケーションへの共有ライブラリ参照の追加

アプリケーションに共有ライブラリ参照を追加するには:

1. IBM WebSphere管理コンソールにログインします。

2. コンソールのナビゲーション・ツリーで、「Applications」を開き、「Application Types」を選択して、「WebSphere enterprise applications」をクリックし、アプリケーションのリストを開きます。

3. 「Enterprise Applications」ページで、共有ライブラリを関連付けるアプリケーションをクリックします。

4. 「Configurations」で、「Shared library references」をクリックして、「Shared library references」ページにアクセスします。

5. 「Shared Library Mapping for Modules」セクションで、共有ライブラリに関連付けるアプリケーションの横のチェック・ボックスを選択して、表の上の「Reference Shared Libraries」ボタンをクリックします。

6. 「Available」リストで、アプリケーションで使用する1つ以上の共有ライブラリを選択して、「Selected」リストに追加します。「OK」をクリックします。

7. 構成に加えた変更を保存します。

14.2.1.10 ノードの同期およびサーバーの再起動

ノードを同期し、共有ライブラリを参照するアプリケーションをホストしているサーバーを再起動します。

14.2.1.11 構成のテスト

構成をテストするには:

1. 構成を確認するために、それぞれ1つのリソースを保護している2つのエージェントをリモート登録します。

2. Oracle Access Managementコンソールを使用して、認証フロー用に1つ目のリソースをOAAMBasicに関連付けます。2つ目のリソースをLDAPSchemeに関連付けます。

関連資料:

『Oracle Fusion Middleware Oracle Access Management管理者ガイド』の認証スキームの管理に関する項

3. これまでに構成済の保護されたリソースにアクセスして、構成を検証します。
ユーザー名を入力するプロンプトが表示されます。さらに別画面でパスワードを入力するプロンプトが表示されます。

ユーザー名およびパスワードが検証されたら、3つのチャレンジ質問を選択し、これらに回答するように求められます。完了後に、保護されたアプリケーションが表示されます。

14.2.2 Access ManagerとのOAAMの拡張統合の構成

Oracle Adaptive Access ManagerをOracle Access Managerと統合すると、企業は、アプリケーションの保護のレベルを大幅に向上させる高度なアクセス・セキュリティ機能を使用できるようになります。OAAMとAccess Managerとの拡張統合シナリオには、Oracle Identity Managerがあるものとないものがあります。

Oracle Identity Managerとの統合により、パスワードを忘れた場合やパスワードの変更フローなど、より豊富なパスワード管理機能をユーザーが利用できるようになります。Oracle Identity Managerとの統合の詳細は、第14.3項「IBM WebSphereでのAccess Manager、OAAMおよびOIMの統合」を参照してください。

環境にOracle Identity Managerが含まれていない場合は、この項で説明されている統合手順に従います。

14.2.2.1 Access ManagerとのOAAMの拡張統合のロードマップ

表14-2には、IBM WebSphereでAccess ManagerとのOAAMの拡張統合を構成する手順がまとめられています。

表14-2 Access ManagerとOracle Adaptive Access Managerとの統合フロー

手順

タスク

情報

1

統合の前に必要なすべてのコンポーネントがインストールおよび構成されていることを確認します。

詳細は、「Access ManagerとのOAAMの拡張統合の前提条件」を参照してください。

2

Oracle Access ManagementとOAAMの管理コンソールおよび管理対象サーバーが実行されていることを確認します。

詳細は、「サーバーの再起動」を参照してください。

3

OAAMユーザーを作成します。OAAM管理コンソールにアクセスする前に、管理ユーザーを作成する必要があります。

詳細は、「ユーザーとグループの作成」を参照してください。

4

OAAMベース・スナップショットをインポートします。Oracle Adaptive Access Managerには、ポリシー、依存コンポーネントおよび構成のフル・スナップショットが付属しています。Oracle Adaptive Access Managerを動作させるには、ベースOAAMスナップショットをシステムにインポートする必要があります。

詳細は、「OAAMでのベース・スナップショットのインポート」を参照してください。

5

Access Managerが正しく設定されたことを確認します。Oracle Access Managementコンソールに正常にログインできる必要があります。

詳細は、「Access Managerの初期構成の検証」を参照してください。

6

OAAMが正しく設定されたことを確認します。

詳細は、「Oracle Adaptive Access Managerの初期構成の検証」を参照してください。

7

Webゲートを登録します。Webゲートは、すぐに使用できるアクセス・クライアントです。このWebサーバー・アクセス・クライアントは、Webリソースに対するHTTPリクエストをインターセプトし、これらのリクエストをOAMサーバー11gに転送します。

詳細は、「Oracle Access Managementコンソールを使用したWebゲートのプロビジョニング」を参照してください。

8

OAAMサーバーを信頼できるパートナ・アプリケーションとして動作するようにAccess Managerに登録します。パートナ・アプリケーションは、認証機能をAccess Manager 11gに委任するアプリケーションです。

詳細は、「OAAMとの統合用にAccess Managerを設定し、Access ManagerでOAAMをサード・パーティとして登録する手順」を参照してください。

9

エージェント・パスワードを複数の場所に指定します。OAAMでは、統合でエージェント・プロファイルを使用するために、このエージェント・パスワードを必要とします。

詳細は、「エージェント・パスワードの設定」を参照してください。

10

Oracle Access Managementテスターを使用してTAPパートナ登録を検証します。

詳細は、「TAPパートナ登録の検証」を参照してください。

11

OAAMでTAP統合プロパティを設定します。

詳細は、「TAP統合用のOAAMの設定」を参照してください。

12

ポリシーで保護されたリソースのポリシーでOAAM TAPSchemeを使用してリソースが保護されるように認証スキームを更新します。

詳細は、「ポリシーで保護されたリソースのポリシーの認証スキームの更新」を参照してください。

13

Access ManagerとOracle Adaptive Access Managerの統合を検証します。

詳細は、「Access ManagerとOracle Adaptive Access Managerの統合の検証」を参照してください。

14.2.2.2 Access ManagerとのOAAMの拡張統合の前提条件

Access ManagerをOracle Adaptive Access Managerとともに構成する前に、依存コンポーネントを含めて、必要なコンポーネントをすべてインストールし、統合タスクに備えて環境を構成しておく必要があります。詳細は、『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』のAccess ManagerとのOAAMの拡張統合の前提条件に関する項を参照してください。

WebLogicではなくIBM WebSphereをインストールします。システム要件と動作保証、必要なソフトウェア・メディアとダウンロード、およびOracle Fusion MiddlewareをIBM WebSphereとともにインストールして構成するインストール手順の詳細は、第2章「Oracle Identity and Access ManagementのIBM WebSphereでのインストールおよび構成」を参照してください。

14.2.2.3 サーバーの再起動

1. IBM Deployment Managerを起動します。
Deployment Managerを起動するには、IBM WebSphereホームの次のディレクトリに移動して、次のコマンドを入力します。

(UNIX) WAS_HOME/profiles/deployment_mgr_profile_name/bin/startManager.sh
(Windows) WAS_HOME\profiles\deployment_mgr_profile_name\bin\startManager.cmd

たとえば、UNIXオペレーティング・システムでは次のようになります。

/opt/IBM/WebSphere/AppServer/profiles/Dmgr01/bin/startManager.sh

WAS_HOMEは、IBM WebSphereがインストールされているAppServerディレクトリへのパスです。

Access ManagerとOAAMを統合しており、OAAMが別のIBM WebSphereセルにインストールされている場合は、OAAMがインストールされているIBM WebSphereプロファイルに配置されているDeployment Managerも起動する必要があります。

2. OAMサーバーをホストしている管理対象サーバーを起動します。

OAM_PROFILE/bin/startServer.sh oam_server1

OAM_PROFILEは、OAMがインストールされているIBM WebSphereプロファイルです。

例:

OAM_PROFILE - $WAS_HOME/profiles/Custom01

3. OAAM管理サーバーをホストしている管理対象サーバーを起動します。
OAAM管理サーバーを起動するには、IBM WebSphereホームの次のディレクトリに移動して、次のコマンドを入力します。

(UNIX) OAAM_PROFILE/bin/startServer.sh oaam_admin_server
(Windows) OAAM_PROFILE\bin\startServer.cmd oaam_admin_server

OAAM管理サーバーのデフォルトのサーバー名は、oaam_admin_server1です。

たとえば、UNIXオペレーティング・システムでは次のようになります。

/opt/IBM/WebSphere/AppServer/profiles/Custom01/bin/startServer.sh
oaam_admin_server1

OAAM_PROFILEは、OAAM管理サーバーがインストールされているIBM WebSphereプロファイルです。

たとえば、UNIXオペレーティング・システムでは、OAAM_PROFILEは次のようになります。

WAS_HOME/profiles/profile_name

4. OAAMランタイム・サーバーをホストしている管理対象サーバーを起動します。
OAAMランタイム・サーバーを起動するには、IBM WebSphereホームの次のディレクトリに移動して、次のコマンドを入力します。

(UNIX) OAAM_PROFILE/bin/startServer.sh oaam_server_server
(Windows) OAAM_PROFILE\bin\startServer.cmd oaam_server_server

OAAMランタイム・サーバーのデフォルトのサーバー名は、oaam_server_server1です。

OAAM_Profileは、OAAMサーバーがインストールされているIBM WebSphereプロファイルです。

たとえば、UNIXオペレーティング・システムでは次のようになります。

/opt/IBM/WebSphere/AppServer/profiles/Custom01/bin/startServer.sh
oaam_server_server1

たとえば、UNIXオペレーティング・システムでは、OAAM_PROFILEは次のようになります。

WAS_HOME/profiles/profile_name

14.2.2.4 ユーザーとグループの作成

デフォルトで、OAAM管理コンソールにログインする適切な権限を持つユーザーはありません。OAAM管理コンソールにログインするための適切な権限があるユーザーを作成し、必要なグループをそのユーザーに付与する必要があります。IBM WebSphereでのユーザーおよびグループの作成の詳細は、IBM WebSphereのドキュメントを参照してください。ユーザーおよびグループは、IBM WebSphereセルに構成されているLDAPディレクトリに定義する必要があります。OAAMユーザーの例として、oaamadminがあります。OAAMのロールの詳細は、第8.1.3項「OAAM管理コンソールにログインする権限を持つユーザーの作成」を参照してください。

14.2.2.5 OAAMでのベース・スナップショットのインポート

Oracle Adaptive Access Managerには、ポリシー、ルール、チャレンジ質問、依存コンポーネントおよび構成のフル・スナップショットが付属しています。このスナップショットは、OAAMの最小構成で必要となります。『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』の手順に従って、システムにスナップショットをインポートします。

14.2.2.6 Access Managerの初期構成の検証

「Oracle Access Managementへようこそ」ページにアクセスして、Access Managerが正しく設定されていることを確認します。

1. 次のOracle Access Managementコンソールにログインします。

http://oam_adminserver_host:oam_adminserver_port/oamconsole

ログインのため、OAMサーバーにリダイレクトされます。

2. 管理者ユーザーの名前とパスワードを指定します。
ログインに成功すると、「Oracle Access Managementへようこそ」ページが表示されます。

14.2.2.7 Oracle Adaptive Access Managerの初期構成の検証

OAAMサーバーにアクセスして、Oracle Adaptive Access Managerが正しく設定されていることを確認します。

1. OAAMサーバーにログインします。

http://host:port/oaam_server

2. ユーザー名を指定し、「続行」をクリックします。

3. Access ManagerとOracle Adaptive Access Managerの統合がまだ実行されていないため、パスワードとしてtestと入力します。このパスワードは、統合後すぐに変更する必要があります。

4. 仮想認証デバイス上の「入力」ボタンをクリックします。

5. 「続行」をクリックし、新しいユーザーを登録します。

6. 「続行」をクリックして、セキュリティ・デバイス、イメージおよびフレーズを受け入れます。

7. 質問を選択し、回答を指定して、ナレッジベース認証(KBA)の登録を行います。
ログインに成功すれば、初期構成が正しく行われたことになります。

14.2.2.8 Oracle Access Managementコンソールを使用したWebゲートのプロビジョニング

エージェントは、OAMサーバーと通信して、保護されているリソースおよび構成されているアクセス・ポリシーを確認します。エージェントを登録すると、エージェントとOAMサーバーとの間で必要な信頼メカニズムが設定されます。

Webゲートを登録する前に、次のものがインストールされ、構成されていることを確認します。

- IBM HTTP Serverおよびそれに必要なプラグイン
IBM HTTP (IHS)のインストールと構成の詳細は、IBM HTTP製品のドキュメントを参照してください。

- IHS WebGate
IHS 11g WebGate for Access Managerのインストールの詳細は、『Oracle Fusion Middleware WebGate for Oracle Access Managerのインストール』のIHS 11g WebGate for Oracle Access Managerのインストールに関する項を参照してください。

14.2.2.8.1 パートナとしてのWebゲートの登録

IHS 11g WebGateの登録の詳細は、『Oracle Fusion Middleware WebGate for Oracle Access Managerのインストール』の新規IHS 11g WebGateの登録に関する項を参照してください。

14.2.2.8.2 Access Management 11g SSOエージェント・アーティファクトのコピー

エージェントを登録したら、Access Management 11g SSOエージェント・アーティファクトをIHS WebGate構成の場所にコピーします。詳細は、『Oracle Fusion Middleware WebGate for Oracle Access Managerのインストール』の生成されたファイルおよびアーティファクトのHTTP Server WebGateインスタンスの場所へのコピーに関する項を参照してください。

14.2.2.8.3 IBM HTTP Serverの起動

IHS Serverを起動します。詳細は、『Oracle Fusion Middleware WebGate for Oracle Access Managerのインストール』のIHS Serverの起動およびIHSリソースへのアクセスに関する項を参照してください。

IHS Webサーバーを起動したら、IHS Webサーバーにログインします。例:

http://machine_name.my.company.com:port

Webゲートによってリクエストがインターセプトされ、Oracle Access Managementコンソールにリダイレクトされます。ユーザー名とパスワードを入力すると、IBM HTTP Serverにリダイレクトされます。

14.2.2.9 OAAMとの統合用にAccess Managerを設定し、Access ManagerでOAAMをサード・パーティとして登録する手順

OAAMサーバーを信頼できるパートナ・アプリケーションとしてAccess Managerに登録するには、『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』の手順に従います。

注意:

Access ManagerがインストールされているIBM WebSphere Deployment Managerが稼働していることを確認します。

1. WSADMIN用に環境を設定します。

2. IAM_ORACLE_HOME/common/binディレクトリに移動します。

3. wsadmin.shを実行して、wsadminと入力します。
例:

./wsadmin.sh -port 8879 -user wasadmin -password some-value -conntype soap -lang jython

portは、Deployment ManagerのSOAP PORTです。

SOAPポートの指定の詳細は、IBM WebSphereのドキュメントを参照してください。

4. 別のターミナル・ウィンドウで、次を実行してkeystoreディレクトリを作成します。

mkdir IAM_ORACLE_HOME/TAP/TapKeyStore

5. WSADMINシェルを使用して、Oam.registerThirdPartyTAPPartnerコマンドを実行します。

Oam.registerThirdPartyTAPPartner(partnerName="partnerName",
keystoreLocation= "path_to_keystore" , password="keystore_password",
tapTokenVersion="v2.0", tapScheme="TAPScheme", tapRedirectUrl="OAAM login URL")

このコマンドは、サード・パーティをTrusted Authentication Protocol (TAP)パートナとして登録します。

次に例を示します。

Oam.registerThirdPartyTAPPartner(partnerName = "OAAMTAPPartner",
keystoreLocation= "IAM_ORACLE_HOME/TAP/TapKeyStore/mykeystore.jks" ,
password="password", tapTokenVersion="v2.0", tapScheme="TAPScheme",
tapRedirectUrl="http://OAAM_ Managed_server_host:14300/
oaam_server/oamLoginPage.jsp")

表14-3 TAPパートナの設定

パラメータ

詳細

partnerName

パートナの名前は一意である必要があります。これは、サード・パーティ・パートナの識別に使用する任意の名前にできます。Access Managerにパートナが存在する場合は、その構成が上書きされます。

keystoreLocation

キーストアの場所は既存の場所です。指定したディレクトリ・パスが存在しない場合は、エラーが表示されます。キーストア・ファイル名を含む完全なパスを指定する必要があります。前に示した例では、キーストアの場所はIAM_ORACLE_HOME/TAP/TapKeyStore/mykeystore.jksでした。他に、keystoreLocation= "/scratch/jsmith/dwps1tap/TapKeyStore/mykeystore.jks"のような例もあります。コマンドregisterThirdPartyTAPPartnerを実行すると、キーストア・ファイルが指定の場所に作成されます。Windowsでは、パスをエスケープする必要があります。例:

"C:\\oam-oaam\\tap\\tapkeystore\\mykeystore.jks"

password

キーストアの暗号化に使用するキーストア・パスワード。キーストアは、パラメータkeystoreLocation用に指定した場所でコマンドregisterThirdPartyTAPPartnerを実行することにより作成されます。後で必要になるため、このパスワードをメモします。

tapTokenVersion

Trusted Authentication ProtocolのバージョンtapTokenVersionは、11.1.1.5.0および11.1.2.0の場合、常にv2.0です。IDContextクレームを使用している場合は、v2.1となります。

tapScheme

Trusted Authentication Protocol認証スキーム(すぐに使用できるTAPScheme)。これは更新される認証スキームです。異なるtapRedirectUrlを持つ2つのTAPパートナが必要な場合は、Oracle Access Managementコンソールを使用して新しい認証スキームを作成し、そのスキームをここで使用します。

この認証スキームは、前述の手順でregisterThirdPartyTAPPartnerコマンドを実行しているときに自動的に作成されます。TAPSchemeの名前は、パラメータとしてそのコマンドに渡されます。例のコマンドではtapScheme="TAPScheme"が使用されています。

tapRedirectUrl

サード・パーティのアクセスURL。TAPリダイレクトURLはアクセス可能である必要があります。アクセスできない場合、パートナの登録は失敗し、Error! Hyperlink reference not validというメッセージが表示されます。tapRedirectUrlは次のように構成されます。

http://oaamserver_host:oaamserver_port/oaam_server/oamLoginPage.jsp

OAAMサーバーが実行されていることを確認してください。実行されていない場合、登録は失敗します。資格証明コレクタのページは、OAAMサーバーによって提供されます。registerThirdPartyTAPPartner (TAPScheme)によって作成された認証スキームは、redirectURLとしてOAAMサーバーの資格証明コレクタ・ページを指します。

14.2.2.10 エージェント・パスワードの設定

複数の場所でエージェント・パスワードを指定する必要があります。OAAMでは、統合でエージェント・プロファイルを使用するために、このエージェント・パスワードを必要とします。

14.2.2.10.1 Oracle Access ManagementコンソールでのIAMSuiteAgentプロファイルへのパスワードの追加

Access Managerがインストールされると、IAMSuiteAgentというデフォルトのエージェント・プロファイルが作成されます。このプロファイルは、Access Managerとの統合の際にOAAMによって使用されます。IAMSuiteAgentプロファイルが最初に作成されるときには、パスワードはありません。プロファイルがOAAMで統合に使用される前に、パスワードを設定する必要があります。これを行うには、次のようにします。

1. Oracle Access Managementコンソールにログインします。

http://oam_adminserver_host:oam_adminserver_port/oamconsole

2. ユーザー名とパスワードを入力します。

3. 「システム構成」タブを選択します。

4. 「Access Managerの設定」→「SSOエージェント」を開きます。

5. OAMエージェントをダブルクリックします。
右側のペインに「Webゲート」ページが開かれます。

6. 「検索」をクリックすると、IAMSuiteAgentを含むすべてのWebゲート・エージェントがリストされます。

7. 「IAMSuiteAgent」をダブルクリックし、プロパティを編集します。

8. 「アクセス・クライアント・パスワード」でパスワードを指定し、「適用」をクリックして変更を保存します。
これは必須の手順です。

14.2.2.11 TAPパートナ登録の検証

TAPパートナ登録を検証するには、次の手順に従います。

14.2.2.11.1 チャレンジURLの検証

Access Managerの構成を検証するには、次の手順を実行します。

1. Oracle Access Managementコンソールにログインします。

http://oam_adminserver_host:oam_adminserver_port/oamconsole

2. 資格証明を入力します。

3. コンソールの左側のペインの「ポリシー構成」をクリックします。

4. 左側のペインで、「認証スキーム」ノードを開きます。

5. TAPScheme認証スキームをダブルクリックします。

6. 「チャレンジ・メソッド」が「DAP」で、「認証モジュール」が「DAP」であることを確認します。

7. 「チャレンジURL」が、OAAMがパートナ・アプリケーションとしてAccess Managerに登録されたときに指定されたtapRedirectUrlの値の一部を示していることを確認します。たとえば、tapRedirectUrlがhttp://OAAM_Managed_server_host:14300/oaam_server/oamLoginPage.jspの場合、「チャレンジURL」は/oaam_server/oamLoginPage.jspとなります。URLのホストおよびポート番号部分は、チャレンジ・パラメータでパラメータ化されます。「チャレンジ・パラメータ」フィールドに、TAPPartnerId=OAAMPartnerとSERVER_HOST_ALIAS=HOST_ALIAS_1の両方が表示されます。

8. チャレンジ・パラメータが正しく設定されていることを確認します。

14.2.2.11.2 MatchLDAPAttributeチャレンジ・パラメータのTAPSchemeへの追加

MatchLDAPAttributeチャレンジ・パラメータを追加し、これをLDAPアイデンティティ・ストアで指定されたUser Name Attributeに設定する必要があります。

1. Oracle Access Managementコンソールにログインします。

http://oam_adminserver_host:oam_adminserver_port/oamconsole

2. 資格証明を入力します。

3. 画面の左側で「ポリシー構成」タブをクリックします。

4. 「認証スキーム」ノードを開きます。

5. TAPScheme認証スキームをダブルクリックします。

6. 既存のパラメータに別のパラメータを追加するには、カーソルを「チャレンジ・パラメータ」フィールドに置き、キーボードを使用して[Enter]キーを押します。

7. 新しい行で、チャレンジ・パラメータのエントリを追加します。
たとえば、MatchLDAPAttribute=uidなどです。

MatchLDAPAttributeを、LDAPアイデンティティ・ストアで指定されたUser Name Attributeに設定する必要があります。たとえば、uid、mail、cnなどとなります。

注意:

「チャレンジ・パラメータ」では大/小文字を区別します。

詳細は、『Oracle Fusion Middleware Oracle Access Management管理者ガイド』のユーザー・アイデンティティ・ストアの管理に関する項を参照してください。

8. 「適用」をクリックして変更を送信します。

9. 確認ウィンドウを閉じます。

14.2.2.11.3 IAMSuiteAgentの設定の検証

IAMSuiteAgentの設定を検証するには、次の手順を実行します。

1. Oracle Access Managementテスターを起動します。

IAM_ORACLE_HOME/../jdk_version/bin/java -jar IAM_ORACLE_
HOME/oam/server/tester/oamtest.jar

Oracle Access Managementテスター・コンソールが表示されます。

2. 「サーバー接続」セクションで、サーバー接続の詳細を指定します。

1. IPアドレス: Access Manager管理対象サーバーのホスト

2. ポート: Oracle Access Management Oracle Access Protocol (OAP)ポート

3. エージェントID: IAMSuiteAgent

4. エージェント・パスワード: 第14.2.2.10項「エージェント・パスワードの設定」で指定したPassword

「サーバー接続」セクションには、OAMサーバーへの接続の確立に必要な情報についてのフィールドが示されます。

3. 「接続」をクリックします。
サーバーに接続できる場合は、次のセクションの保護されているリソースのURIが有効になります。

4. 「保護されたリソースのURI」セクションには、保護状態を検証する必要のあるリソースに関する情報が表示されます。
このセクションでは、次のように保護されたリソースのURIを指定します。

1. ホスト: IAMSuiteAgent

2. ポート: 80

3. リソース: /oamTAPAuthenticate

注意:

oamTAPAuthenticateではなくTAPSchemeを使用して保護されているその他の任意のリソースをテストできます。

5. 「検証」をクリックします。
リソース検証サーバー・リクエストを送信するには、「検証」ボタンを使用します。検証に成功すると、次のセクションのユーザー・アイデンティティが有効になります。

6. 「ユーザー・アイデンティティ」セクションで、User Identityを指定し、「認証」をクリックします。認証に成功した場合は、設定が正常に行われています。
このセクションには、資格証明を認証する必要のあるユーザーに関する情報が表示されます。「ユーザーの認証」サーバー・リクエストの送信には「認証」ボタンを使用します。

14.2.2.12 TAP統合用のOAAMの設定

『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』のOAAMでのAccess Manager TAP統合プロパティの設定に関する項で説明されているように、setupOAMTapIntegration.shを実行して、TAP統合用にAccess Managerを構成します。

CLIスクリプト実行の詳細は、第8.1.4項「IBM WebSphere上のOAAMに対するCLI環境の設定」を参照してください。

14.2.2.13 ポリシーで保護されたリソースのポリシーの認証スキームの更新

OAAM TAPSchemeでリソースを保護するには、ポリシーで保護されたリソースのポリシーを編集して、認証スキームを更新する必要があります。この項では、これを実行するための一般的な手順を示します。

詳細な手順は、『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』を参照してください。

1. Oracle Access Management管理コンソールにログインします。

http://oam_adminserver_host:oam_adminserver_port/oamconsole

2. 11g WebGate登録の一環として作成されたアプリケーション・ドメインを確認します。

3. 認証ポリシーで保護されたリソースのポリシーを編集します。

4. 認証スキームを、registerThirdPartyTAPPartnerコマンドでtapSchemeパラメータとして指定されたTAPSchemeに更新します。

5. 「適用」をクリックして、変更を保存します。

14.2.2.14 Access ManagerとOracle Adaptive Access Managerの統合の検証

保護されたリソースにアクセスしてみます。登録およびチャレンジのため、OAAMにリダイレクトされます。Access Managerログイン・ページのかわりにOAAMログイン・ページが表示されます。

14.3 IBM WebSphereでのAccess Manager、OAAMおよびOIMの統合

Oracle Identity Managerとの統合により、パスワードを忘れた場合やパスワードの変更フローなど、より豊富なパスワード管理機能をユーザーが利用できるようになります。

14.3.1 Access Manager、OAAMおよびOIMの統合ロードマップ

表14-4は、Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合のための大まかなタスクをリストしたものです。

表14-4 Access Manager、OAAMおよびOIMの統合フロー

手順

タスク

情報

1

統合の前に必要なすべてのコンポーネントがインストールおよび構成されていることを確認します。

詳細は、『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』およびIBM WebSphereのドキュメントを参照してください。

2

Access Manager、Oracle Adaptive Access ManagerおよびIBM WebSphereサーバーをインストールします。

詳細は、第2章「Oracle Identity and Access ManagementのIBM WebSphereでのインストールおよび構成」を参照してください。

3

Access ManagerとOracle Identity Managerを統合します。

詳細は、『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』を参照してください。

4

Oracle Identity Managerに対してLDAP同期を有効にします。これは、Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの統合に必要となります。

詳細は、『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』を参照してください。

5

Access ManagerとOracle Adaptive Access Managerを統合します。

詳細は、第14.2.2項「Access ManagerとのOAAMの拡張統合の構成」を参照してください。

6

Oracle Adaptive Access ManagerとOIMの統合を設定します。

詳細は、第14.3.7項「Oracle Identity ManagerとOracle Adaptive Access Managerの統合」を参照してください。

14.3.2 Access Manager、Oracle Adaptive Access ManagerおよびOIMの統合の前提条件

Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managementを統合する前に、依存コンポーネントを含む必要なすべてのコンポーネントをインストールし、後に続く統合タスクに備えて環境を構成しておく必要があります。

Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managementの統合タスクを実行する前にインストールして構成しておく必要のあるコンポーネントの詳細は、『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』を参照してください。

次の手順は、すぐに使用できる統合によりAccess ManagerとOracle Identity Managerが統合されていることを前提としています。

14.3.3 Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerのインストール

Access Manager、OAAMおよびOIMのインストールの詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』を参照してください。

注意:

この統合では、Oracle Identity ManagerとOAAMは同一セル内に含まれている必要があります。

14.3.4 Access ManagerとOracle Identity Managerの統合

Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの間の統合には、Oracle Identity ManagerおよびAccess Managerの間の統合が必要です。詳細は、『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』を参照してください。

14.3.5 Oracle Identity Managerに対するLDAP同期の有効化

Access Manager、Oracle Adaptive Access ManagerおよびOracle Identity Managerの間の統合には、Oracle Identity Manager用のLDAP同期の有効化が必要です。詳細は、『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』を参照してください。

14.3.6 Access ManagerとOracle Adaptive Access Managerの統合

注意:

Access Manager、Oracle Identity ManagementおよびOracle Adaptive Access Managerの統合では、IdentityManagerAccessGateプロファイルがAccess ManagerとOracle Identity Managementの統合時に構成されているため、すでに存在しています。詳細は、『Oracle Fusion Middleware Oracle Identity Management Suite統合ガイド』を参照してください。

Access ManagerとOracle Adaptive Access Managerの統合は、OAAMサーバーが信頼できるパートナ・アプリケーションとして動作するように構成します。Oracle Adaptive Access ManagerとAccess Managerの統合の詳細は、「IBM WebSphereでのAccess ManagerとOAAMの統合」を参照してください。

14.3.7 Oracle Identity ManagerとOracle Adaptive Access Managerの統合

この項では、Access Manager、Oracle Identity ManagementおよびOracle Adaptive Access Managerの3方向統合のために、Oracle Identity ManagementとOracle Adaptive Access Managerを統合する方法について説明します。

- OAAMユーザーおよびグループのOIMコンソールからの追加

- Oracle Adaptive Access Manager用のOracle Identity Managerプロパティの設定

- Oracle Identity ManagerとOAAMの統合を有効化するためのOAAMプロパティの更新

- 資格証明ストア・フレームワークでのOracle Identity Manager資格証明の構成

14.3.7.1 OAAMユーザーおよびグループのOIMコンソールからの追加

OAAM管理コンソールにアクセスできるようにするには、OIMが指しているアイデンティティ・ストアにOAAMユーザーおよびOAAMロールを作成する必要があります。Oracle Identity Managerシステム管理コンソールからユーザーとグループを追加できます。詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のユーザーの管理に関する項とロールの管理に関する項を参照してください。

14.3.7.2 Oracle Adaptive Access Manager用のOracle Identity Managerプロパティの設定

Oracle Identity ManagerのかわりにOracle Adaptive Access Managerがチャレンジ質問機能を提供するためには、Oracle Identity Managerで、OIM.ChangePasswordURLプロパティおよびOIM.ChangePasswordURLプロパティが有効なOAAM URLに設定され、OIM.DisableChallengeQuestionsがtrueに設定される必要があります。

Oracle Identity Managerプロパティを変更するには、次の手順を実行します。

1. Oracle Identity Managerシステム管理コンソールにログインします。

2. 「システム管理」で「構成」をクリックし、「システム管理」の下で「システム構成」リンクをクリックします。

3. ポップアップ・ウィンドウで、「拡張検索」をクリックします。

4. 次のプロパティを設定し、「保存」をクリックします。

注意:

これらのURLでは、Access Managerで構成したホスト名を使用します。たとえば、Access Managerの構成中に完全なホスト名(ドメイン名あり)を指定した場合は、URLに完全なホスト名を使用します。

表14-5 Oracle Identity Managerのリダイレクト

プロパティ

説明と値

OIM.DisableChallengeQuestions

TRUE

OIM.ChangePasswordURL

Oracle Adaptive Access Managerにあるパスワード変更ページのURLは次のとおりです。

http://oaam_server_managed_server_host:oaam_server_managed_server_port/oaam_server/oimChangePassword.jsp

高可用性(HA)環境では、OAAMサーバーの仮想IP URLを指すようにこのプロパティを設定します。

OIM.ChallengeQuestionModificationURL

Oracle Adaptive Access Managerにあるチャレンジ質問変更ページのURLは次のとおりです。

http://oaam_server_managed_server_host:oaam_server_managed_server_port/oaam_server/oimResetChallengeQuestions.jsp

5. Oracle Identity Managerの管理対象サーバーを再起動します。

14.3.7.3 Oracle Identity ManagerとOAAMの統合を有効化するためのOAAMプロパティの更新

Oracle Identity Manager用にOAAMプロパティを設定するには:

1. 次のOAAM管理コンソールにログインします。

http://oaam_managed_server_host:oaam_admin_managed_server_port/oaam_admin

プロパティ・エディタへのアクセスが可能なユーザーとしてログインします。

2. ナビゲーション・ツリーで、「環境」をクリックしてから、「プロパティ」をダブルクリックします。「プロパティ」検索ページが表示されます。

3. プロパティ値を設定するには、「名前」フィールドに名前を入力して「検索」をクリックします。現在値が検索結果ウィンドウに表示されます

注意:

プロパティの検索でレコードが何も表示されない場合は、プロパティを作成する必要があります。プロパティの作成手順は、『Oracle Fusion Middleware Oracle Adaptive Access Manager管理者ガイド』の新規データベース・タイプ・プロパティの作成に関する項を参照してください。

4. 「値」をクリックします。新しい値を入力し「保存」をクリックします。

次のプロパティについて、デプロイ内容に従って値を設定します。

表14-6 Oracle Identity Manager統合プロパティ

プロパティ名

プロパティ値

bharosa.uio.default.user.management.provider.classname

com.bharosa.vcrypt.services.OAAMUserMgmtOIM

oaam.oim.auth.login.config

${oracle.oaam.home}/../designconsole/config/authws.conf

注意: authwl.confは即時利用可能な値ではありません。

oaam.oim.url

corbaloc:iiop:host:port

portはOIMサーバーのブートストラップ・ポートです。

oaam.oim.xl.homedir

${oracle.oaam.home}/../designconsole

bharosa.uio.default.signon.links.enum.selfregistration.url

自己登録のURLは次のとおりです。

http://OIM_managed_server_host:OIM_managed_server_port/identity/faces/register?&backUrl=back-URL

bharosa.uio.default.signon.links.enum.trackregistration.url

登録のトラッキングのURLは次のとおりです。

http://OIM_managed_server_host:OIM_managed_server_port/identity/faces/trackregistration?&backUrl=back-URL

bharosa.uio.default.signon.links.enum.trackregistration.enabled

true

bharosa.uio.default.signon.links.enum.selfregistration.enabled

true

oaam.oim.csf.credentials.enabled

true

このプロパティにより、資格証明をプロパティ・エディタを使用して管理するのではなく資格証明ストア・フレームワークで構成するように有効化できます。この手順は、資格証明をCSFに安全に保存するために実行します。

oaam.oim.passwordflow.unlockuser

true

このプロパティは、パスワードを忘れた場合のフローでユーザーの自動ロック解除を有効にします。

oaam.oim.initial.context.factory

com.ibm.websphere.naming.WsnInitialContextFactory

14.3.7.4 資格証明ストア・フレームワークでのOracle Identity Manager資格証明の構成

様々なアクティビティを実行するには、Oracle Adaptive Access ManagerにOIM管理者の資格証明が必要です。Oracle Identity Manager Webゲートの資格証明の鍵は、MAPのoaamに作成されます。OIMの資格証明を資格証明ストア・フレームワークに安全に保存できるように、次の手順に従ってパスワード資格証明をOAAMドメインに追加します。

1. Oracle Fusion Middleware Enterprise Managerコンソールにログインします。

http://websphere_host:OracleAdminServer_port/em

ここで、portはOracleAdminServer HTTPポートです。

IBM WebSphere管理者としてログインする必要があります。たとえば、wasadminとしてログインします。

2. 左ペインのナビゲーション・ツリーの「WebSphereセル」アイコンを開きます。

3. 使用しているIBM WebSphereセルを選択して、右クリックし、メニュー・オプションの「セキュリティ」を選択し、サブメニューのオプション「資格証明」を選択します。

4. 「oaam」をクリックしてマップを選択します。次に「キーの作成」をクリックします。

5. ポップアップ・ダイアログで「マップの選択」が「oaam」に設定されていることを確認します。

6. 次のプロパティを指定し、「OK」をクリックします。

表14-7 Oracle Identity Managerの資格証明

プロパティ

値

マップ名

oaam

キー名

oim.credentials

キー・タイプ

パスワード

ユーザー名

Oracle Identity Manager管理者のユーザー名

パスワード

Oracle Identity Manager管理者のパスワード

A Fusion Middleware Controlページ参照

この付録では、Oracle Fusion Middleware用に構成されているIBM WebSphereセルを管理するときに表示されるFusion Middleware Controlページで使用可能な機能とオプションについて説明します。

この付録では、次の内容を説明します。

- IBM WebSphereセル・ホームページの情報の理解

- WebSphereアプリケーション・サーバー・ホームページの情報の理解

- IBM WebSphereアプリケーション・デプロイメント・ホームページの情報の理解

A.1 IBM WebSphereセル・ホームページの情報の理解

セル・ホームページは、次のリージョンに分かれています。

- セル・ホームページの「Summary」リージョン

- セル・ホームページの「Deployments」リージョン

- セル・ホームページの「Servers」リージョン

- セル・ホームページの「Clusters」リージョン

セル・ホームページの「Summary」リージョン

セル・ホームページの「Summary」リージョンには、対象セルの一般情報、およびIBM WebSphere管理コンソールへのリンクが表示されます。これらを使用して、セルを管理できます。

表A-1は、「Summary」リージョンの「General」セクションで表示可能なフィールドについて説明しています。

表A-1 「Summary」リージョンの「General」セクションで表示可能なフィールド

項目

説明

Cell Name

Oracle Fusion Middleware構成ウィザードを使用してセルが構成されたときにセルに指定された名前。

Version

セルの構成に使用されたIBM WebSphereのバージョン。

このバージョン番号によって、IBM WebSphereインストールに適用されているパッチ・セットを識別することもできます。

Administrative Console Port

IBM WebSphere管理コンソールへのアクセスに使用される非セキュア・ポート。特に、これは、次のURLのWC_Adminhost_portによって特定されるポートです。

http://hostname:WC_Adminhost_port/ibm/console

Administrative Console Secure Port

IBM WebSphere管理コンソールへのアクセスに使用されるセキュア・ポート。特に、これは、次のURLのWC_Adminhost_secure portによって特定されるポートです。

https://hostname:WC_Adminhost_secure_port/ibm/console

SOAP Connector Port

Simple Object Access Protocol (SOAP)経由の管理サーバーとの通信に使用されるポート。

Bootstrap Port

これは、管理サーバーのブートストラップ・ポートの値です。このポートは、IBM WebSphere Application Clientソフトウェアのインストール時およびIBM WebSphere dumpNameSpaceツールなどのユーティリティの使用時に必要です。

Deployment Mode

IBM WebSphereソフトウェアのデプロイメント・モード。

たとえば、このフィールドは、IBM WebSphere Application Server - Network DeploymentインストールとIBM WebSphere Application Serverデプロイメントのいずれであるかを示します。

セル・ホームページの「Deployments」リージョン

このリージョンには、セル内のサーバーにデプロイされているアプリケーションがリストされます。各アプリケーション・デプロイメントが、デプロイメント名、ステータスおよびデプロイメントが実行されているターゲット・サーバーとともにリストされます。

アプリケーション・デプロイメントの名前をクリックするとWebSphereアプリケーション・デプロイメント・ホームページが表示され、各アプリケーション・デプロイメントの詳細が示されます。

グラフによって、停止していて使用できないデプロイメントと対比して、現在稼働中のデプロイメントの割合が示されます。

内部アプリケーションは、Oracle Fusion Middlewareに必要なアプリケーションです。内部アプリケーションは、自動的にデプロイされ、セルにインストールして構成したOracle Fusion Middleware製品に必要です。

セル・ホームページの「Servers」リージョン

このリージョンには、セル内のサーバーがリストされます。グラフによって、停止していて使用できないサーバーと対比して、現在稼働中のサーバーの割合が示されます。

サーバーごとに、リージョンにはサーバー名、ステータス、およびサーバーがクラスタに属している場合はそのクラスタの名前がリストされます。

セル・ホームページの「Clusters」リージョン

このリージョンには、セル内に現在構成されているクラスタがリストされます。クラスタごとに、クラスタ名、ステータスおよびクラスタ内のサーバーのリストが表示されます。

A.2 WebSphereアプリケーション・サーバー・ホームページの情報の理解

WebSphereアプリケーション・サーバー・ホームページは、次のリージョンに分かれています。

- WebSphereアプリケーション・サーバー・ホームページの「Summary」リージョン

- WebSphereアプリケーション・サーバー・ホームページの「Deployments」リージョン

WebSphereアプリケーション・サーバー・ホームページの「Summary」リージョン

WebSphereアプリケーション・サーバー・ホームページの「Summary」リージョンには、対象サーバーの一般情報、およびIBM WebSphere管理コンソールへのリンクが表示されます。これらを使用して、サーバーを管理できます。

表A-2は、「Summary」リージョンの「General」セクションで表示可能なフィールドについて説明しています。

表A-2 アプリケーション・サーバー・ページの「Summary」リージョンの「General」セクションで表示可能なフィールド

項目

説明

Cell Name

Oracle Fusion Middleware構成ウィザードを使用してセルが構成されたときにセルに指定された名前。

Node Name

対象のサーバーが含まれるノードの名前。

Version

セルの構成に使用されたIBM WebSphereのバージョン。

このバージョン番号によって、IBM WebSphereインストールに適用されているパッチ・セットを識別することもできます。

WebSphere Home

現在のIBM WebSphereソフトウェアがインストールおよび構成されているディレクトリのフルパス。

Host

サーバーが現在実行されているホストの完全修飾名。

WebSphereアプリケーション・サーバー・ホームページの「Deployments」リージョン

このリージョンには、対象のサーバーにデプロイされているアプリケーションがリストされます。各アプリケーション・デプロイメントが、デプロイメント名とステータスとともにリストされます。

アプリケーション・デプロイメントの名前をクリックするとWebSphereアプリケーション・デプロイメント・ホームページが表示され、各アプリケーション・デプロイメントの詳細が示されます。

グラフによって、停止していて使用できないデプロイメントと対比して、現在稼働中のデプロイメントの割合が示されます。

内部アプリケーションは、Oracle Fusion Middlewareに必要なアプリケーションです。内部アプリケーションは、自動的にデプロイされ、セルにインストールして構成したOracle Fusion Middleware製品に必要です。

A.3 IBM WebSphereアプリケーション・デプロイメント・ホームページの情報の理解

アプリケーション・デプロイメント・ページは、次のセクションに分かれています。

- IBM WebSphereアプリケーション・デプロイメント・ページの「Summary」リージョン

IBM WebSphereアプリケーション・デプロイメント・ページの「Summary」リージョン

WebSphereアプリケーション・デプロイメント・ホームページの「Summary」リージョンには、対象アプリケーションの一般情報、およびIBM WebSphere管理コンソールへのリンクが表示されます。これらを使用して、アプリケーションを管理できます。

表A-3は、「Summary」リージョンの「General」セクションで表示可能なフィールドについて説明しています。

表A-3 アプリケーション・デプロイメント・ページの「Summary」リージョンの「General」セクションで表示可能なフィールド

項目

説明

Application Type

アプリケーションのタイプ。たとえば、このフィールドには、対象のアプリケーションがエンタープライズ・アーカイブ(EAR)としてデプロイされたのか、それともその他のアーカイブ・タイプとしてデプロイされたのかが示されます。

Cell Name

Oracle Fusion Middleware構成ウィザードを使用してセルが構成されたときにセルに指定された名前。

Node Name

対象のアプリケーションがデプロイされたサーバーが含まれるノードの名前。

Deployed On

アプリケーションのこのインスタンスがデプロイされているサーバーの名前。

Copyright © 2011, 2013, Oracle and/or its affiliates. All rights reserved.