ヘッダーをスキップ
Oracle® Fusion Middleware Oracle Identity Managerユーザーズ・ガイド
11g リリース2(11.1.2.1.0)
B69542-04
  目次へ移動
目次		 索引へ移動
索引
前
前 		 次
次		  

13 組織の管理

Oracle Identity Managerでは、組織エンティティは、ユーザー、他の組織などのエンティティの論理的なコンテナを表します。Oracle Identity Managerの組織は、セキュリティ目的でのみ使用されます。企業組織、LDAP組織、組織単位のいずれでもありません。

組織に関連する概念、および組織を管理する手順については、次の各項で説明します。

13.1 委任管理モデル

Vision Inc.は、委任管理の一般的な事例を示すためにこのドキュメントで使用する架空の会社です。ユーザーには、Employees、Contractors、Suppliers、Partners、Customersの5つのタイプがあります。各ユーザーには約100個のアプリケーションがプロビジョニングされます。この例で提案するソリューションはIDMと呼びます。

図13-1に示すように、Vision Inc.には、2つの主要なユーザー・セット(EmployeesとContractorsで構成されるInternal Users、およびPartners、Suppliers、Customersで構成されるExternal Users)があります。

図13-1 委任管理

図13-1の説明が続きます
「図13-1 委任管理」の説明

Internal Usersは、Oracle Identity Self Serviceを使用してHR管理者によって直接搭載され管理されます。図13-1に示されるように、IDM管理者は様々なPartners、SuppliersおよびCustomersを作成し、これらの各組織に委任管理者を割り当てます。たとえば、IDM管理者は、Partner1というパートナ組織を作成および管理し、Partner1の下に1人以上のユーザーを作成し、その組織の委任管理者としてこれらのユーザーの1人以上を割り当てることができます。その後、委任管理者(たとえば、Partner1 DA)は、Partner1の下に追加の階層(たとえば、Partner1 USとPartner1 EMEA)を作成し、これらの各組織の下に委任管理者を指定することができます。たとえば、Partner1 DAは、Partner1 USの下にPartner1 USの委任管理者としてUser1を指定できます。この階層レベルは、n番目のレベルまで指定できます。

これらの各組織の下に作成されたユーザーは、厳密な権限モデルに従います。たとえば、External Users組織のユーザーは、Internal Usersを参照できませんが、IDM管理者の一部であるInternal Usersは、Internal UsersとExternal Usersの両方を参照できます。Partner1 DAはPartner2の下のユーザーを参照できず、その逆も同様です。同様に、Partner1 US DAはPartner1 EMEAのユーザーを参照できません。親委任管理者は、すべての子委任管理者を参照できますが、その逆はできません。たとえば、Partner1 DAはPartner1 USおよびPartner1 EMEAのユーザーを参照できますが、Partner1 USのユーザーはPartner1 USのユーザーしか参照できません。この委任モデル全体は、組織階層、ユーザーへのビューア管理ロールの割当て、およびユーザーが属する組織のみへのエンティティの公開によって達成されます。

リソースを表示したりアクセスする組織のユーザーの能力は、階層に従います。たとえば、Partner1に許可されているすべてのリソースおよびロールは、Partner1 USおよびPartner1 EMEAにデフォルトで表示されます。これは、このドキュメントの後半で説明するエンティティの公開時に、下位組織を含めるフラグを選択することによって実現されます。公開と委任はどちらも組織階層を認識します。各委任管理者は、対応するエンティティに対するリソースの可用性をさらに制限することができます。

委任管理モデルは、次によって実現されます。

13.2 組織エンティティ定義

Oracle Identity Managerでは、組織エンティティに対してデフォルトで属性が定義されています。これらの属性は、すべてのエンティティ(ユーザー、組織、ロール、ロール階層、ロール・メンバーシップなど)で同じです。エンティティに対して定義される属性のリストは、「ユーザー・エンティティ定義」を参照してください。

表13-1に、組織エンティティのデフォルト属性を示します。

表13-1 組織エンティティのデフォルト属性

属性名 カテゴリ タイプ データ型 表示タイプ プロパティ

組織名

基本

単一

文字列

単一行テキスト

必須: はい

システムによるデフォルト設定が可能: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

タイプ

基本

単一

文字列

LOV

必須: はい

システムによるデフォルト設定が可能: はい

システム制御: はい

暗号化: クリア

ユーザー検索可能: はい

親組織

基本

単一

文字列

単一行テキスト

必須: いいえ

システムによるデフォルト設定が可能: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

ステータス

基本

単一

文字列

単一行テキスト

必須: はい

システムによるデフォルト設定が可能: はい

システム制御: はい

暗号化: クリア

ユーザー検索可能: はい

パスワード・ポリシー

基本

単一

文字列

LOV

必須: false

システムによるデフォルト設定が可能: いいえ

システム制御: いいえ

暗号化: クリア

ユーザー検索可能: はい

13.3 組織のスコープと階層

Oracle Identity Managerでは、組織階層のルートは最上位組織によって表されます。最上位組織は、Oracle Identity Managerで使用可能な事前定義された組織です。デフォルトでは、Oracle Identity Managerのすべての組織が最上位組織から拡張されます。

Oracle Identity Managerでは、委任管理および様々なエンティティのデータ・セキュリティを行う組織レベルのスコープ・メカニズムが提供されます。これは、次によって実現されます。

13.4 組織へのエンティティの公開

組織へのエンティティの公開とは、エンティティをその組織で使用可能にすることです。エンタープライズ・ロール、権限またはアプリケーション・インスタンスは、それぞれの管理者によって組織のリストに公開することによって、それらの組織のユーザーに付与することができます。エンタープライズ・ロール、権限およびアプリケーション・インスタンスが組織のリストに公開されると、次のことが可能になります。

「アイデンティティ・セルフ・サービス」のそれぞれのエンティティ詳細ページの「組織」タブから、エンティティを組織に公開できます。

エンティティ管理者がエンティティを作成すると(たとえば、ロール管理者がエンタープライズ・ロールを作成すると)、そのエンティティ(この例では、ロール)は、管理者がエンティティ管理ロールを所有するすべての組織で自動的に使用可能になります。これにより、それぞれの組織または組織階層で管理用のエンティティが作成され公開されるのを防ぐことができます。ただし、他の組織にエンティティを公開する必要がある場合は、そのエンティティを手動で公開する必要があります。

13.5 管理ロール

管理ロールはOracle Identity Managerの最初のクラス・エンティティで、エンタープライズ・ロールまたはグループ・エンティティと同じではありません。Oracle Identity Managerの認可およびセキュリティ・モデルは、ユーザーへの管理ロールの割当てに基づいて機能します。割当ては、指定された組織のスコープまたは最上位組織のスコープに指定できます。前述のように、最上位組織はOracle Identity Managerの組織階層のルートです。認可ポリシーは管理ロールに従って作成されます。管理ロールはOracle Identity Managerに事前定義されていて、新しい管理ロールは追加できません。管理ロールは作成、更新、削除またはリクエストすることができません。

エンティティには次の管理ロールが定義されています。

ただし、エンティティ管理者に特定の例外があります。たとえば、ロール管理者は、そのロールに対してユーザーを割り当てたり失効させることはできません。ロールに対してユーザーを割り当てたり失効させるには、ロール管理者は次のうちのいずれか1つを明示的に所有している必要があります。

「ロール・ビューア」ロール: 承認を条件とするリクエストを使用して、そのロールに対してユーザーを割り当てたり失効させることができる。

「ロール認可者」ロール: 直接的な操作によって、そのロールに対してユーザーを割り当てたり失効させることができる。

同様に、アプリケーション・インスタンス管理者および権限管理者も、それぞれのエンティティに対してユーザーを割り当てたり失効させることはできません。それぞれリクエストまたは直接的な操作によって、そのエンティティに対してユーザーを割り当てたり失効させることができるためには、これらの管理ロールは、「エンティティ・ビューア」ロールまたは「エンティティ認可者」ロールを明示的に所有している必要があります。

管理ロールには階層がありません。ただし、管理ロール・メンバーシップは階層を認識するので、子組織にカスケードできます。管理ロール・メンバーシップは常に組織ごとのスコープに指定され、システム管理者またはシステム構成者によってのみ割り当てることができます。管理ロールには、自動グループ・メンバーシップまたはロール・メンバーシップのルールがありません。


注意:

管理ロールは、LDAPデータ・ストアに格納することができず、Oracle Identity Managerデータベースに格納されます。

管理ロールは、管理ロールというロール・カテゴリに属しています。管理ロールはリクエストすることができず、エンド・ユーザーには決して公開されません。システム機能を実行するために、これらのロールにユーザーを割り当てる必要がある「システム管理者」ロールおよび「システム構成者」ロールのみが、管理ロールにアクセスできます。

「システム管理者」管理ロールおよび「システム構成者」管理ロールは、最上位組織のみが使用可能です。したがって、最上位組織へのアクセス権があるシステム管理者およびシステム構成者のみが、「システム管理者」ロールおよび「システム構成者」ロールを割り当てることができます。組織にリソースをプロビジョニングできるのはシステム管理者のみです。

表13-2に、各エンティティに対するOracle Identity Managerの管理ロールを示します。


注意:

表13-2には、「組織の基本情報」、「ロールの基本情報」、「権限の基本情報」および「アプリケーション・インスタンスの基本情報」という暗黙的権限が含まれています。「基本情報」の権限では、指定されたエンティティを検索および表示するための権限のみが付与されます。次に例を示します。

  • 「組織の表示」権限では、「組織ビューア」管理ロールに定義されたすべての権限が付与されますが、「組織の基本情報」では、組織の属性を検索および表示するための権限のみが付与されます。

  • 「ユーザー・ビューア」管理ロールでは、スコープ指定された組織のロール、組織、アプリケーション・インスタンスおよび権限に対する「基本情報」の権限が付与されます。

表13-2 Oracle Identity Managerの管理ロール

エンティティ 管理者ロール 説明

システム管理者

すべての権限を持つ、Oracle Identity Managerシステム管理者ロール

システム構成者

Oracle Identity Managerを構成する権限を持つロール

SPML管理者

SPML操作を管理するSPML管理者

ロール

ロール管理者

割り当てられたすべてのエンタープライズ・ロールを管理する権限を持つロール

ロール認可者

割り当てられたすべてのエンタープライズ・ロールを認可する権限を持つロール。ロール認可者は、直接的な操作によってロールを付与できます。

ロール・ビューア

割り当てられたエンタープライズ・ロールを表示する権限を持つロール

権限

権限管理者

割り当てられたすべての権限を管理する権限を持つロール

権限認可者

割り当てられたすべての権限を認可する権限を持つロール

権限ビューア

割り当てられたすべての権限を表示する権限を持つロール

アプリケーション・インスタンス

アプリケーション・インスタンス管理者

割り当てられたすべてのアプリケーション・インスタンスを管理する権限を持つロール

アプリケーション・インスタンス認可者

割り当てられたすべてのアプリケーション・インスタンスを認可する権限を持つロール

アプリケーション・インスタンス・ビューア

割り当てられたすべてのアプリケーション・インスタンスを表示する権限を持つロール

組織

組織管理者

割り当てられたすべての組織を管理する権限を持つロール

組織ビューア

割り当てられたすべての組織を表示する権限を持つロール

ユーザー

ユーザー管理者

割り当てられたすべてのユーザーを管理する権限を持つロール

ヘルプ・デスク

ユーザーを管理するヘルプ・デスク

ユーザー・ビューア

割り当てられたすべてのユーザー・レコードを表示する権限を持つロール

カタログ

カタログ管理者

すべてのカタログ項目を管理する権限を持つロール


関連項目:

管理ロールの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のセキュリティ・アーキテクチャに関する説明を参照してください。

表13-3に、Oracle Identity Managerの管理ロール、および管理ロールによって提供される許可された対応する権限を示します。

表13-3 管理ロールと権限

Oracle Identity Managerの管理ロール 暗黙的権限 スコープ指定された組織の権限 リクエストまたは直接的な操作

ユーザー管理者

組織ビューア

ユーザーの検索(属性レベルのセキュリティ)

該当なし

ロール・ビューア

ユーザーの表示(属性レベルのセキュリティ)

該当なし

権限ビューア

ユーザーの作成

直接

アプリケーション・インスタンス・ビューア

ユーザーの削除

直接


ユーザーの変更(属性レベルのセキュリティ)

直接


ユーザーのロック

該当なし


ユーザーのロック解除

該当なし


ユーザーの有効化

直接


ユーザーの無効化

直接


ロールの付与

直接


ロールの失効

直接


アカウントの付与

直接


アカウントの失効

直接


権限の付与

直接


権限の失効

直接


ユーザー・パスワードの変更

該当なし


アカウント・パスワードの変更

該当なし


ユーザー・アカウントの変更

直接


ユーザー・アカウントの有効化

直接


ユーザー・アカウントの無効化

直接


組織の表示

該当なし


ロールの表示

該当なし


権限の表示

該当なし


アプリケーション・インスタンスの表示

該当なし


リクエストの表示

該当なし


管理ロール・メンバーシップの表示

該当なし


ロール・メンバーシップの表示

該当なし


ユーザー・アカウントの表示

該当なし


ユーザー権限の表示

該当なし


プロキシの表示

該当なし


プロキシの追加

直接


プロキシの削除

直接

ヘルプ・デスク

組織の基本情報

ユーザーの検索(属性レベルのセキュリティ)

該当なし

ロールの基本情報

ユーザーの表示(属性レベルのセキュリティ)

該当なし

権限の基本情報

ユーザーの有効化

リクエスト

アプリケーション・インスタンスの基本情報

ユーザーの無効化

リクエスト


ユーザーのロック解除(ログインの失敗が原因でロックアウトされている場合のみ)

直接


ユーザー・パスワードの変更

直接


アカウント・パスワードの変更

直接


組織の表示

該当なし


ロールの表示

該当なし


権限の表示

該当なし


アプリケーション・インスタンスの表示

該当なし


リクエストの表示

該当なし


ロール・メンバーシップの表示

該当なし


プロキシの表示

該当なし


ユーザー・アカウントの表示

該当なし


ユーザー権限の表示

該当なし

ユーザー・ビューア

組織ビューア

ユーザーの作成

リクエスト

ロール・ビューア

ユーザーの削除

リクエスト

権限ビューア

ユーザーの変更(属性レベルのセキュリティ)

リクエスト

アプリケーション・インスタンス・ビューア

ユーザーの検索(属性レベルのセキュリティ)

該当なし


ユーザーの表示(属性レベルのセキュリティ)

該当なし


ユーザーの有効化

リクエスト


ユーザーの無効化

リクエスト


ロールの付与

リクエスト


ロールの失効

リクエスト


アカウントの付与

リクエスト


アカウントの失効

リクエスト


権限の付与

リクエスト


権限の失効

リクエスト


ユーザー・アカウントの変更

リクエスト


組織の表示

該当なし


ロールの表示

該当なし


権限の表示

該当なし


アプリケーション・インスタンスの表示

該当なし


リクエストの表示

該当なし


ロール・メンバーシップの表示

該当なし


プロキシの表示

該当なし


ユーザー・アカウントの有効化

リクエスト


ユーザー・アカウントの無効化

リクエスト


管理ロール・メンバーシップの表示

該当なし


管理ロールの追加

該当なし


管理ロールの削除

該当なし


管理ロール・メンバーシップの変更

該当なし


ユーザー・アカウントの表示

該当なし


ユーザー権限の表示

該当なし

ロール・ビューア

組織の基本情報

ロールの付与

リクエスト

ユーザーの基本情報

ロールの失効

リクエスト


組織の表示

該当なし


ロールの表示

該当なし


ユーザーの表示

該当なし


ロール・メンバーシップの表示

該当なし

組織ビューア

組織の基本情報

組織の検索

該当なし

ユーザーの基本情報

組織の表示

該当なし

アプリケーション・インスタンスの情報

ユーザーの表示

該当なし

権限の情報

ロールの表示

該当なし


アプリケーション・インスタンスの表示

該当なし


権限の表示

該当なし


すべてのパブリケーションの表示

該当なし


すべての組織メンバーの表示

該当なし


管理ロールおよびメンバーシップの表示

該当なし


組織にプロビジョニングされたアカウントの表示

該当なし

アプリケーション・インスタンス・ビューア

ユーザーの基本情報

アプリケーション・インスタンスの検索

該当なし

組織の基本情報

アプリケーション・インスタンスの表示(パスワードを除く)

該当なし

権限の情報

アカウントの付与

リクエスト


アカウントの失効

リクエスト


ユーザー・アカウントの変更

リクエスト


ユーザー・アカウントの有効化

リクエスト


ユーザー・アカウントの無効化

リクエスト


組織の表示

該当なし


ユーザーの表示

該当なし


アプリケーション・インスタンスの表示

該当なし


権限の表示

該当なし


ユーザー・アカウントの表示

該当なし


ユーザー権限の表示

該当なし

権限ビューア

ユーザーの基本情報

権限の検索

該当なし

組織の基本情報

権限の表示

該当なし

アプリケーション・インスタンスの基本情報

権限の付与

リクエスト


権限の失効

リクエスト


組織の表示

該当なし


ユーザーの表示

該当なし


アプリケーション・インスタンスの表示

該当なし


ユーザー・アカウントの表示

該当なし


ユーザー権限の表示

該当なし

ロール管理者

ユーザーの基本情報

ロールの検索

該当なし

組織の基本情報

ロールの表示

該当なし


ロールの作成

直接


ロールの変更

直接


ロールの削除

直接


ロール・メンバーの表示

該当なし


ロール階層の管理

直接


ロールの公開(許可された組織に対してのみ)

直接


ロールの公開解除(許可された組織に対してのみ)

直接


ロール・メンバーシップ・ルールの管理

直接


ロール・カテゴリの作成

直接


ロール・カテゴリの更新

直接


ロール・カテゴリの削除

直接


ユーザーの表示

該当なし


組織の表示

該当なし


ロール・メンバーシップの表示

該当なし

アプリケーション・インスタンス管理者

ユーザーの基本情報

アプリケーション・インスタンスの作成

直接

組織の基本情報

アプリケーション・インスタンスの変更

直接

権限管理者

アプリケーション・インスタンスの削除

直接


アプリケーション・インスタンスの検索

該当なし


アプリケーション・インスタンスの表示

該当なし


アプリケーション・インスタンスの公開(許可された組織に対してのみ)

直接


アプリケーション・インスタンスの公開解除(許可された組織に対してのみ)

直接


権限の公開(許可された組織に対してのみ)

直接


権限の公開解除(許可された組織に対してのみ)

直接


拡張UIへのアクセス

該当なし


アカウントの表示

該当なし


ユーザーの表示

該当なし


組織の表示

該当なし


ユーザー・アカウントの表示

該当なし


ユーザー権限の表示

該当なし

組織管理者

ユーザーの基本情報

組織の検索

該当なし

アプリケーション・インスタンスの基本情報

組織の表示

該当なし

権限の基本情報

組織の作成

直接

ロールの基本情報

組織の変更

直接


組織の削除

直接


管理ロールに対するすべてのロール管理者権限

直接


特定の組織に対する組織階層の更新

直接


パスワード・ポリシーの関連付け

直接


メンバーの表示

該当なし


公開されたロールの表示

該当なし


公開されたアプリケーション・インスタンスの表示

該当なし


公開された権限の表示

該当なし


組織にプロビジョニングされたアカウントの表示

注意: 組織へのリソースのプロビジョニングは、システム管理者のみに許可されます。

該当なし

権限管理者

ユーザーの基本情報

権限の検索

該当なし

アプリケーション・インスタンスの基本情報

権限の表示

該当なし

組織の基本情報

権限(API)の追加

直接


権限(API)の削除

直接


権限(API)の更新

直接


権限の公開(許可された組織に対してのみ)

直接


権限の公開解除(許可された組織に対してのみ)

直接


組織の表示

該当なし


ユーザーの表示

該当なし


アプリケーション・インスタンスの表示

該当なし


アカウントの表示

該当なし


権限メンバーの表示

該当なし


組織のデータ・セキュリティを適用する公開された権限(API)の表示

該当なし

カタログ管理者

アプリケーション・インスタンスの基本情報

カタログ・メタデータの編集

直接

権限の基本情報

リクエスト・プロファイルの作成

直接

ロールの基本情報

リクエスト・プロファイルの変更

直接


リクエスト・プロファイルの削除

直接


アプリケーション・インスタンスの表示

該当なし


権限の表示

該当なし


ロールの表示

該当なし

ロール認可者

ユーザーの基本情報

ロールの表示

該当なし

組織の基本情報

ロールの付与

直接


ロールの失効

直接


組織の表示

該当なし


ユーザーの表示

該当なし


ロール・メンバーシップの表示

該当なし

アプリケーション・インスタンス認可者

ユーザーの基本情報

アプリケーション・インスタンスの検索

該当なし

組織の基本情報

アプリケーション・インスタンスの表示(パスワードを除く)

該当なし


アカウントの付与

直接


アカウントの失効

直接


アカウントの変更

直接


アカウントの有効化

直接


アカウントの無効化

直接


組織の表示

該当なし


権限の表示

該当なし


ユーザーの表示

該当なし


ユーザー・アカウントの表示

該当なし


ユーザー権限の表示

該当なし

権限認可者

ユーザーの基本情報

権限の検索

該当なし

組織の基本情報

権限の表示

該当なし

アプリケーション・インスタンスの基本情報

権限の付与

直接


権限の失効

直接


ユーザーの表示

該当なし


組織の表示

該当なし


アプリケーション・インスタンスの表示

該当なし


ユーザー・アカウントの表示

該当なし


ユーザー権限の表示

該当なし

カタログ・システム管理者

アプリケーション・インスタンスの基本情報

カタログ・メタデータの編集

直接

権限の基本情報

リクエスト・プロファイルの作成

直接

ロールの基本情報

リクエスト・プロファイルの変更

直接


リクエスト・プロファイルの削除

直接


アプリケーション・インスタンスの表示

該当なし


権限の表示

該当なし


ロールの表示

該当なし

システム構成管理者

ロールの基本情報

フォームの表示

該当なし

組織の基本情報

フォームの作成

該当なし

アプリケーション・インスタンスの基本情報

フォームの変更

該当なし

権限の基本情報

フォームの削除

該当なし


コネクタのインポート

該当なし


コネクタのエクスポート

該当なし


リソース・オブジェクトの表示

該当なし


リソース・オブジェクトの作成

該当なし


リソース・オブジェクトの変更

該当なし


リソース・オブジェクトの削除

該当なし


アプリケーション・インスタンスの表示

該当なし


アプリケーション・インスタンスの作成

該当なし


アプリケーション・インスタンスの変更

該当なし


アプリケーション・インスタンスの削除

該当なし


アプリケーション・インスタンスの公開

該当なし


権限の表示

該当なし


権限の公開

該当なし


権限の削除

(APIを使用)

該当なし


権限の変更

(APIを使用)

該当なし


権限の追加

(APIを使用)

該当なし


承認ポリシーの表示

該当なし


承認ポリシーの作成

該当なし


承認ポリシーの変更

該当なし


承認ポリシーの削除

該当なし


拡張UIへのアクセス

該当なし


パスワード・ポリシーの表示

該当なし


パスワード・ポリシーの作成

該当なし


パスワード・ポリシーの変更

該当なし


パスワード・ポリシーの削除

該当なし


通知の表示

該当なし


通知の作成

該当なし


通知の削除

該当なし


通知の変更

該当なし


通知へのロケールの追加

該当なし


通知からのロケールの削除

該当なし


非同期イベント・ハンドラの完了

該当なし


編成操作

該当なし


プラグインの登録

該当なし


プラグインの登録解除

該当なし


スケジュール済ジョブの表示

該当なし


スケジューラの開始

該当なし


スケジューラの停止

該当なし


タスクの追加

該当なし


タスクの変更

該当なし


タスクの削除

該当なし


トリガーの作成

該当なし


トリガーの削除

該当なし


トリガーの変更

該当なし


ジョブの表示

該当なし


ジョブの作成

該当なし


ジョブの変更

該当なし


ジョブの削除

該当なし


ジョブの有効化

該当なし


ジョブの無効化

該当なし


ジョブの即時実行

該当なし


ジョブの一時停止

該当なし


ジョブの再開

該当なし


ジョブの停止

該当なし


ステータスのリセット

該当なし


システム・プロパティの表示

該当なし


システム・プロパティの作成

該当なし


システム・プロパティの変更

該当なし


システム・プロパティの削除

該当なし


属性の表示

該当なし


属性の追加

該当なし


属性の変更

該当なし


属性の削除

該当なし


導出属性の追加

該当なし

SPML管理者

ユーザーの作成、変更および削除

リクエスト


すべての属性のユーザーの検索

該当なし


ユーザー・ステータスの有効化

リクエスト


ユーザー・ステータスの無効化

リクエスト


ロール・メンバーシップの追加

リクエスト


ロール・メンバーシップの削除

リクエスト


すべての属性のロールの検索

該当なし


ロールの作成、変更および削除

リクエスト


注意:

マネージャのみがマネージャのReporteeを表示または変更できるように、ホーム組織の権限に制限を追加できます。そのためには、認可ポリシー管理(APM) UIを使用して次のポリシーを開き、削除します。

  • OrclOIMUserHomeOrgDirectWithAttributesPolicy

  • OrclOIMUserHomeOrgDirectPolicy

  • OrclOIMUserHomeOrgApprovalWithAttributesPolicy

  • OrclOIMUserHomeOrgApprovalPolicy

Oracle Identity Managerアプリケーションへのユーザー・アクセスの制御に使用される認可ポリシーの詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』の「セキュリティ・アーキテクチャ」を参照してください。

13.6 委任できる操作と委任できない操作

他のユーザー(委任管理者)に委任することができる操作があります。操作は次のとおりです。

次の操作は、他のユーザーに委任することはできません。

13.7 パスワード・ポリシーの評価

パスワード・ポリシーとは、パスワードの構文を管理するルールまたは条件のリストです。パスワード・ポリシーはシステム管理者によって作成されます。パスワード・ポリシーの作成および管理の詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』の「パスワード・ポリシーの管理」を参照してください。

組織管理者は、組織の作成中または後の任意の時点で、組織にパスワード・ポリシーを付加できます。組織を作成または変更する手順は、この章の後半で説明します。

Oracle Identity Managerでは、次のようなシナリオでパスワード・ポリシーが評価されます。

次に、ユーザーの有効なパスワード・ポリシーが評価される順序を示します。

  1. ユーザーのホーム組織に設定されているパスワード・ポリシー(ある場合)は、ユーザーに適用されます。

  2. パスワード・ポリシーがユーザーのホーム組織に設定されていない場合は、ユーザーのホーム組織の組織階層の次のレベルの組織のポリシーが選択されます。パスワード・ポリシーに関連付けられた組織が決定されるまで、ユーザーのホーム組織の階層の次のレベルの組織を識別するこの手順は繰り返されます。このパスワード・ポリシーはユーザーに適用されます。

  3. 階層のどの組織にもパスワード・ポリシーが設定されていない場合は、最上位組織に付加されたパスワード・ポリシーが適用されます。最上位組織に付加されたパスワード・ポリシーがない場合には、XellerateUsersリソースのデフォルト・パスワード・ポリシーが適用されます。

13.8 組織管理タスク

組織管理に関連するタスクは、「アイデンティティ・セルフ・サービス」の「組織」セクションで実行します。タスクについては、次の各項で説明します。

13.8.1 組織の検索

組織を検索する手順は、次のとおりです。

  1. Identity Self Serviceにログインします。

  2. 左ペインの「管理」の「組織」をクリックします。「組織」ページが表示されます。

  3. 次のいずれかを選択します。

    • すべて: 検索はAND条件で実行されます。つまり、指定されたすべての検索基準を満たす場合のみ検索操作が成功します。

    • いずれか: 検索はOR条件で実行されます。つまり、指定された選択基準のいずれかに一致する場合に検索操作が成功します。

  4. 「組織名」フィールドに、検索する組織名の検索属性を入力します。これを行うには、検索コンパレータを選択します。デフォルトの検索コンパレータは「次で始まる」です。かわりに、リストからコンパレータ「次と等しい」を選択することもできます。

    ワイルドカード文字を使用して、組織名を指定できます。

  5. 「タイプ」リストから組織タイプを選択します。組織タイプには、「支店」、「会社」または「部門」があります。

  6. 検索のフィールドを追加する手順は、次のとおりです。

    1. 「フィールドの追加」をクリックし、「組織ステータス」などのフィールドを選択します。

    2. 追加した検索属性の値を入力します。この例では、「組織ステータス」リストから組織ステータス(「アクティブ」、「削除」または「無効」)を選択します。

      検索に追加したフィールドを削除するには、フィールドの横にある「X」アイコンをクリックします。

  7. 「検索」をクリックします。結果は検索結果表に表示されます。

    図13-2に示すように、検索結果表には、組織名、親組織名、組織タイプおよび組織ステータスが表示されます。

    図13-2 組織の検索結果

    図13-2の説明が続きます
    「図13-2 組織の検索結果」の説明

13.8.2 組織の作成

組織を作成するには、次の手順を実行します。

  1. 「アイデンティティ・セルフ・サービス」の「管理」の「組織」をクリックします。「組織」ページが表示されます。

  2. 「アクション」メニューから「作成」を選択します。または、ツールバーにある「作成」をクリックします。図13-3に示すように、「組織の作成」ページが表示されます。

    図13-3 「組織の作成」ページ

    図13-3の説明が続きます
    「図13-3 「組織の作成」ページ」の説明

  3. 「組織名」フィールドに、組織の名前を入力します。

  4. 「タイプ」リストから、組織のタイプ(「支店」、「会社」または「部門」)を選択します。

  5. 新規作成した組織が所属する親組織を指定します。手順は次のとおりです。

    1. 「親組織」フィールドの横にある「検索」アイコンをクリックします。「組織の検索」ダイアログ・ボックスが表示されます。

    2. 親組織として指定する組織を検索して選択します。

    3. 「選択」をクリックします。選択した組織が親組織として追加されます。

  6. 組織に関連付けるパスワード・ポリシー名を指定します。手順は次のとおりです。

    1. 「パスワード・ポリシー名」フィールドの横にある「検索」アイコンをクリックします。「パスワード・ポリシー名の検索」ダイアログ・ボックスが表示されます。

    2. 組織に関連付けるパスワード・ポリシーを検索して選択します。すべてのパスワード・ポリシーを表示するには、「検索」アイコンをクリックして、検索結果からパスワード・ポリシーを選択できます。

    3. 「追加」をクリックします。選択したパスワード・ポリシー名が、「パスワード・ポリシー名」フィールドに追加されます。


    関連項目:

    パスワード・ポリシーの作成および管理の詳細は、『Oracle Fusion Middleware Oracle Identity Manager管理者ガイド』のパスワード・ポリシーの管理に関する説明を参照してください。

  7. 「保存」をクリックして組織を作成します。

13.8.3 組織の表示と変更

組織の表示操作では、「組織の詳細」ページで詳細な組織プロファイル情報を表示できます。このページは、認可ポリシーで定義されている組織プロファイルを表示する権限が付与されている場合のみ表示できます。また、組織の変更権限がある場合は、このページを使用して組織を変更できます。

組織の詳細を開く手順は、次のとおりです。

  1. 「アイデンティティ・セルフ・サービス」の「管理」の「組織」をクリックします。「組織」ページが表示されます。

  2. 詳細を表示する組織を検索して選択します。

  3. 「アクション」メニューから「開く」を選択します。または、ツールバーにある「開く」をクリックします。図13-4に示すように、選択した組織の詳細が新しいページに表示されます。

    図13-4 「組織の詳細」ページ

    図13-4の説明が続きます
    「図13-4 「組織の詳細」ページ」の説明

「組織の詳細」ページでは、管理組織の変更を実行できます。変更は「組織の詳細」ページの複数のセクションで個別に行うため、各セクションで行った変更は他のセクションに影響を与えず、変更内容は個別に保存する必要があります。各セクションで行う変更については、次の各項で説明します。

13.8.3.1 組織の属性の変更

図13-4に示すように、「組織の詳細」ページの「属性」タブには、組織の属性が表示されます。認可ポリシーで定義されている組織プロファイルを変更する権限が付与されている場合は、「組織の詳細」ページが編集可能モードで開き、組織情報を変更できます。属性の値を変更し、「適用」をクリックして変更内容を保存します。

ログイン・ユーザーが組織を変更できるかどうかは、認可ポリシーによって制御されます。組織の変更を許可されていない場合、「組織の詳細」ページは読取り専用モードで表示され、編集可能なフィールドはありません。


注意:

「組織の詳細」ページの「ステータス」属性は読取り専用です。

13.8.3.2 子組織の管理

「子」タブには、開いている組織に所属する子組織のリストが表示されます。リスト内の各子組織に関して、組織名、組織タイプおよび組織ステータスが表示されます。

「子」タブを使用すると、次のことを実行できます。

13.8.3.2.1 子組織の作成

「子」タブでは、「アクション」メニューから「下位組織の作成」を選択することによって、開いている組織の子組織または下位組織を作成できます。または、ツールバーにある「下位組織の作成」をクリックします。「組織の作成」ページが表示されます。「組織の作成」で説明する手順を実行して、子組織の作成を完了します。

13.8.3.2.2 子組織の削除

子組織を削除する手順は、次のとおりです。

  1. 「子」タブで、削除する組織を選択します。

  2. 「アクション」メニューから「削除」を選択します。または、ツールバーにある「削除」をクリックします。確認を求めるメッセージが表示されます。

  3. 「はい」をクリックして確認します。選択した子組織が削除されます。

13.8.3.2.3 子組織の無効化

子組織を無効化する手順は、次のとおりです。

  1. 「子」タブで、無効化する組織を選択します。

  2. 「アクション」メニューで、「無効化」を選択します。または、ツールバーにある「無効化」をクリックします。確認を求めるメッセージが表示されます。

  3. 「はい」をクリックして確認します。選択した子組織が無効化されます。

13.8.3.2.4 子組織の有効化

子組織を有効化する手順は、次のとおりです。

  1. 「子」タブで、有効化する組織を選択します。

  2. 「アクション」メニューで、「有効化」を選択します。または、ツールバーにある「有効化」を選択します。確認を求めるメッセージが表示されます。

  3. 「はい」をクリックして確認します。選択した子組織が有効化されます。

13.8.3.2.5 子組織を開く

「子」タブから子組織の詳細を開くには、組織を選択し、「アクション」メニューから「開く」を選択します。または、ツールバーにある「開く」をクリックするか、単に組織の名前をクリックします。

子組織を変更するには、変更する子組織の名前をクリックします。選択した組織の「組織の詳細」ページが表示され、このページを使用してその組織の詳細を変更できます。

13.8.3.3 組織のメンバーシップの表示

「メンバー」タブは読取り専用タブで、選択した組織のユーザーのリストが表示されます。リスト内の各ユーザーに関して、次の情報が表示されます。

  • ユーザー・ログイン

  • 表示名

  • 名

  • 姓

  • 電子メール


ヒント:

「ユーザーの詳細」ページの「属性」タブを使用して、組織に対してユーザーを追加または削除できます。

13.8.3.4 使用可能なロールの表示

組織のロールを表示するには、「組織の詳細」ページの「使用可能なロール」タブをクリックします。このタブには、ロール名、ロール・カテゴリおよび対応する組織名が表示されます。

13.8.3.5 管理ロールの管理

組織に割り当てられている管理ロールを表示するには、「組織の詳細」ページの「管理ロール」タブをクリックします。このタブには、管理ロールとそれらに対応する説明が表示されます。管理ロールを選択すると、選択した管理ロールを持つユーザーが「ユーザー・メンバー」セクションに表示されます。また、このタブでは、開いている組織で利用可能な管理ロールをユーザーに対して付与および失効することができます。

「管理ロール」タブでは、次のタスクを実行できます。

13.8.3.5.1 管理ロールの付与

ユーザーに管理ロールを付与する手順は、次のとおりです。

  1. 「組織の詳細」ページで、「管理ロール」タブをクリックします。開いている組織に割り当てられている管理ロールのリストが表示されます。

  2. ユーザーに付与する管理ロールを選択します。

  3. ツールバーにある「割当て」をクリックします。「ターゲット・ユーザーの拡張検索」ダイアログ・ボックスが表示されます。

  4. 選択した管理ロールを付与するターゲット・ユーザーを検索します。「自分の直下の表示のみ」オプションを選択すると、直属の部下のみを表示できます。

  5. 「ユーザー結果」セクションで、管理ロールを付与するユーザーを選択します。

  6. 選択したユーザーを「選択したユーザー」セクションに移動するには、「選択した項目の追加」をクリックします。また、すべてのユーザーを「ユーザー結果」セクションから「選択したユーザー」セクションに移動するには、「すべて追加」をクリックします。

  7. 「追加」をクリックします。選択したユーザーに管理ロールが付与されます。「管理ロール」タブで管理ロールをクリックすると、選択したユーザーのレコードが「ユーザー・メンバー」セクションに表示されます。

  8. 「ユーザー・メンバー」セクションで、ユーザー・レコードを選択します。「下位組織を含める」を選択すると、ユーザーの組織およびその下位組織に管理ロールが付与されます。管理ロールをユーザーの組織のみに付与する場合は、このオプションを選択しないでください。

13.8.3.5.2 管理ロールの失効

ユーザーから管理ロールを失効する手順は、次のとおりです。

  1. 「管理ロール」タブで、ユーザーを失効する管理ロールを選択します。

  2. 「ユーザー・メンバー」セクションで、管理ロールを失効するユーザーを選択します。

  3. 「アクション」メニューから「失効」を選択します。または、ツールバーにある「失効」をクリックします。確認を求めるメッセージが表示されます。

  4. 「失効」をクリックして確認します。管理ロールを選択すると、ユーザー・レコードは表示されなくなります。

13.8.3.6 使用可能なアカウントの表示

組織で使用可能なアカウントは、組織に公開されているアカウントです。これは、アカウントが組織のユーザーによるリクエストに使用可能であることを意味します。組織で使用可能なアカウントを表示するには、「組織の詳細」ページの「使用可能なアカウント」タブをクリックします。

13.8.3.7 プロビジョニングされたアカウントの表示

「プロビジョニングされたアカウント」タブには、開いている組織にプロビジョニングされているアカウントが表示されます。

「プロビジョニングされたアカウント」タブでは、次のタスクを実行できます。

13.8.3.7.1 アカウントのプロビジョニング

組織にアカウントをプロビジョニングする手順は、次のとおりです。

  1. 「プロビジョニングされたアカウント」タブで、プロビジョニングするアカウントを選択します。

  2. 「アクション」メニューから「プロビジョニング」を選択します。または、ツールバーにある「プロビジョニング」をクリックします。

    「組織にリソースをプロビジョニング」ページが新しいウィンドウに表示されます。

  3. 「ステップ1: リソースの選択」ページで、リストからリソースを選択し、「続行」をクリックします。

  4. 「ステップ2: リソースの選択の検証」ページで、「続行」をクリックします。

  5. 「ステップ5: プロセス・データの指定」ページで、組織にプロビジョニングするアカウントの詳細を入力し、「続行」をクリックします。

  6. 「ステップ6: プロセス・データの検証」ページで、指定したデータを確認して「続行」をクリックします。「プロビジョニングは開始されています。」というメッセージが表示されます。

13.8.3.7.2 アカウントの失効

組織からアカウントを失効する手順は、次のとおりです。

  1. 「プロビジョニングされたアカウント」タブで、失効するアカウントを選択します。

  2. 「アクション」メニューから「失効」を選択します。または、ツールバーにある「失効」をクリックします。

    確認を求めるメッセージが表示されます。

  3. 「はい」をクリックします。

13.8.3.7.3 プロビジョニングされたアカウントの詳細の表示

プロビジョニングされたアカウントの詳細を表示する手順は、次のとおりです。

  1. 「プロビジョニングされたアカウント」タブで、開くアカウントを選択します。

  2. 「アクション」メニューから「開く」を選択します。または、ツールバーにある「開く」をクリックします。

    アカウントの詳細が新しいページに表示されます。

13.8.3.7.4 プロビジョニングされたアカウントの無効化

プロビジョニングされたアカウントを無効化する手順は、次のとおりです。

  1. 「プロビジョニングされたアカウント」タブで、無効化するアカウントを選択します。

  2. 「アクション」メニューで、「無効化」を選択します。または、ツールバーにある「無効化」をクリックします。

    プロビジョニングされたアカウントが正常に無効化されたことを示すメッセージが表示されます。

13.8.3.7.5 プロビジョニングされたアカウントの有効化

プロビジョニングされたアカウントを有効化する手順は、次のとおりです。

  1. 「プロビジョニングされたアカウント」タブで、有効化するアカウントを選択します。

  2. 「アクション」メニューで、「有効化」を選択します。または、ツールバーにある「有効化」をクリックします。

    プロビジョニングされたアカウントが正常に有効化されたことを示すメッセージが表示されます。

13.8.3.8 使用可能な権限の表示

開いている組織に公開された権限を表示するには、「使用可能な権限」タブをクリックします。各権限について、次の情報が表示されます。

  • 権限名

  • 権限に関連付けられているリソース

  • 権限に関連付けられているアカウント名

  • 組織名

13.8.4 組織の有効化と無効化


注意:

子組織またはユーザーが含まれる組織は無効化できません。「ORG.DISABLEDELETEACTIONENABLED」システム・プロパティを「true」に設定した場合のみ、強制的に無効化できます。このプロパティを設定した場合は、親組織が無効化されるとユーザーおよび下位組織も無効化されます。

「有効」状態の組織を無効化する手順は、次のとおりです。

  1. 「組織の詳細」ページで、ページの上部にある「無効化」をクリックします。または、「組織」ページの組織の検索結果から組織を選択し、「アクション」メニューから「無効化」を選択します。

    確認を求めるメッセージが表示されます。

  2. 「無効化」をクリックして確認します。

「無効」状態の組織を有効化する手順は、次のとおりです。

  1. 「組織」ページの組織の検索結果から、有効化する組織を選択します。

  2. 「アクション」メニューで、「有効化」を選択します。確認を求めるメッセージが表示されます。

  3. 「有効化」をクリックして確認します。

13.8.5 組織の削除


注意:

  • 子組織またはユーザーが含まれる組織は削除できません。「ORG.DISABLEDELETEACTIONENABLED」システム・プロパティを「true」に設定した場合のみ、強制的に削除できます。このプロパティを設定した場合は、親組織が削除されるとユーザーおよび下位組織も削除されます。

  • 組織を削除できるのは、その組織に対する削除権限がある場合のみです。

  • 削除されたデータは、「削除」とマークされてデータベース内に引続き存在します。

組織を削除するには、次の手順を実行します。

  1. 「組織」ページの組織の検索結果から、削除する組織を選択します。

  2. 「アクション」メニューから「削除」を選択します。または、「組織の詳細」ページの上部にある「削除」をクリックします。確認を求めるメッセージが表示されます。

  3. 「削除」をクリックして確認します。

  前
前 		 次
次
  目次へ移動
目次		 索引へ移動
索引