Oracle® Fusion Middleware Oracle Adaptive Access Manager管理者ガイド 11gリリース1 (11.1.1) E67347-01 |
|
![]() 前 |
![]() 次 |
グループは、構成作業を簡略化するために収集された相似アイテムです。
この章では、Oracle Adaptive Access Managerで使用されるグループの概念と様々なグループ・タイプについて説明し、グループの作成、グループ・メンバーシップの編集、およびグループの詳細に関する情報を提供します。また、グループのインポートおよびエクスポートの詳細についても説明します。
セキュリティ管理者は、アクションおよびアラートのルールと、ユーザー、ロケーション、IPなどのルール条件を構成する必要があります。
たとえば、Restricted IPSというルールを作成するには、ログインに使用されているユーザーIPが構成済の制限付きIPのリストに含まれているかどうかを確認する条件を追加する必要があります。制限付きIPはIPタイプのRestrictedIPSGroupとしてグループ化され、ルール条件でこのグループが使用されます。
次のタイプのグループを使用できます。
表12-1 グループ・タイプ
グループは次のアイテムで使用されます:
ポリシー
ポリシーはユーザーIDグループまたはユーザー・グループのすべてのユーザーおよびメンバーまたは評価されるすべてのユーザーにリンクされます。
ポリシー・ツリーは、ユーザーIDグループのポリシーへのリンクを示します。
ポリシー内のルール
OAAM管理は特定のユーザー、デバイスまたはロケーション・グループにルールを適用して、不正シナリオが発生したかどうかを評価し、結果を判断します。
ルールにより、アクション・グループまたはアラート・グループ、あるいはその両方をトリガーできます。
条件
一部の条件は、グループをパラメータ・タイプとして使用します。たとえば、IPグループのIPなどです。条件では、IPグループ名/IPをパラメータとして使用します。
トリガー組合せ
トリガー組合せで、グループのアラートが指定されます。
事前条件
ユーザー・グループをポリシーで除外できます。
構成可能なアクション
構成可能なアクションを動的に使用して、ユーザーIDグループのメンバーをユーザーIDグループに追加できます。
ユーザー・フローの作成および編集では常に、まずグループを検索してその詳細を確認し、その後でグループ・メンバーシップを更新するのか、グループの詳細を編集するのか、グループ・メンバーを編集するのか、またはグループを定義するのかを決定します。
ユーザー・フローの例として、図12-1にグループ作成フローを示します。
グループ検索ページから、グループの検索、表示、作成、インポート、エクスポートおよび削除を実行できます。
グループ検索ページを開くには:
OAAM管理にログインします。
ナビゲーション・ツリーから、「グループ」を選択します。グループ検索ページが表示されます。
検索ページを開く別の方法は、3.9項「検索、作成およびインポート」を参照してください。
グループ検索ページには、「検索」セクションおよび「検索結果」表が表示され、検索基準に一致したグループのサマリーが示されます。
グループ検索ページを初めて表示した場合、「検索結果」表は空になっています。「検索」をクリックして、Oracle Adaptive Access Manager環境内にあるグループのリストを表示する必要があります。
グループ検索ページでは、検索フィルタに特定の基準を指定することで、関心のある特定のグループを検索できます。
グループを検索するには:
第12.5項「グループ検索ページへのナビゲート」の説明に従って、グループ検索ページにナビゲートします。
グループを見つけるための基準を指定して、「検索」をクリックします。
「検索」のかわりに「リセット」をクリックすると、検索基準がリセットされます。
検索パラメータ値は必須ではありません。このフィールドを空白のままにした場合は、すべてのグループが検索結果に表示されます。
表12-2に、検索フィルタを示します。
表12-2 グループ検索フィルタの基準
フィルタおよびフィールド | 説明 |
---|---|
グループ名 |
グループの名前。グループの完全な名前または名前の一部を入力できます。たとえば、newと入力すると、その名前の一部にnewが含まれているグループがすべて表示されます。 |
グループでは、「フル・キャッシュ」および「なし」という2つのキャッシュ・ポリシー・オプションが提供されます。 「フル・キャッシュ」オプションでは、サーバーの存続期間を通して、グループのコンテンツがサーバーのメモリーにキャッシュされます。静的参照グループと読取り専用グループは、「フル・キャッシュ」オプションの候補として適しています。管理者は、このオプションの使用時にサーバーのメモリーが使用されることに注意する必要があります。リストに変更があるとグループが再キャッシュされるため、要素のリストが長い場合は、悪影響を及ぼすことがあります。 「なし」キャッシュ・ポリシー・オプションではキャッシュが使用されず、毎回データベースが参照されます。デバイス・グループ・タイプは動的であることが多く、サーバーの実行中に頻繁に操作されるため、「なし」に設定されます。グループがサーバーの存続期間を通して静的である場合は、「なし」のかわりに「フル・キャッシュ」オプションを使用できます。 |
|
グループ・タイプ |
グループが属するカテゴリ。タイプは、表12-1のとおりです。 |
表示されるグループは、「グループ名」、「グループ・タイプ」および「キャッシュ・ポリシー」フィールドに指定された基準と一致するグループです。
「検索結果」表の列ごとに、ソート・オプションが提供されます。
グループごとに名前が表示されます。説明が長すぎてすべて表示されない場合は、テキストの上にマウスを合わせると、説明全体が表示されます。
「検索結果」表で、関心のあるグループのハイパーリンク付きグループ名をクリックすると、詳細が表示されます。
グループの詳細タブには、サマリー、メンバーおよび使用状況のタブが表示されます。
グループの詳細を表示するには:
第12.5項「グループ検索ページへのナビゲート」の説明に従って、グループ検索ページにナビゲートします。
「グループ名」フィールドにグループの名前を入力し、「検索」をクリックします。
グループ名をクリックし、そのグループのグループ詳細ページを表示します。
「サマリー」タブに、グループの名前、タイプ、キャッシュ・ポリシー、説明など、グループの一般情報が表示されます。
注意: グループ詳細ページでは、グループ・タイプを変更できません。 |
メンバー・タブでは、グループにメンバーを追加したり、削除するグループのメンバーを選択できます。
メンバー・タブは、グループに含まれるデータのタイプでラベル付けされています。たとえば、ユーザーIDグループの場合、「ユーザーID」というラベルの付いたメンバー・タブが表示されます。
メンバー・タブには、そのグループのすべてのメンバーが表示されます。メンバー・タブには、通常、メンバーの名前/ID、説明およびその他の重要な属性が表示されます。正確な情報は、グループ・タイプに応じて異なります。
注意: 既存の「アクション」要素およびそのプロパティは編集できません。 |
「使用状況」タブでは、グループが使用されている様々なロケーション(条件、オーバーライド、構成可能なアクションなど)を階層形式で表示できます。グループが使用されていない場合は、このタブにアクセスできません。
「使用状況」ツリーのすべてのノードの詳細を表示できます。たとえば、事前条件xyzの上位のルールAをクリックすると、ルールAの短い詳細が右側のパネルに表示され、必要に応じてその他の詳細も表示できます。
グループが使用されているエンティティの詳細を表示するには、そのリンクをクリックします。
リンクをクリックすると、その特定のアイテムの詳細ページが新しいタブに表示されます。
詳細ページの「グループに追加」ボタンを使用して、グループにエンティティを追加したり、グループを作成してそこにエンティティを追加したり、またはグループからエンティティを削除できます。
「グループに追加」機能の説明は次のとおりです。
表12-3 グループに追加
機能 | 説明 |
---|---|
エンティティ・グループへのエンティティの追加 |
エンティティがまだ関連付けられていないエンティティ・グループのリストからエンティティ・グループを選択し、これにエンティティを追加できます。ユーザー・グループには、ユーザーIDグループ・タイプまたはユーザー名グループ・タイプのいずれでも指定できます。 アラートを除いて、1つのエンティティを同じエンティティ・グループに複数回追加することはできません。 アラートをアラート・グループに追加した場合には常に、既存のアラートの新規インスタンスが作成されてそのグループに追加されるため、アラートはアラート・グループに複数回追加できます。 |
新規エンティティ・グループの作成、および新規作成したグループへのエンティティの追加 |
新規エンティティ・グループを作成し、これにエンティティを追加できます。ユーザー・グループには、ユーザーIDグループ・タイプまたはユーザー名グループ・タイプのいずれでも指定できます。 |
エンティティ・グループからのエンティティの削除 |
すでに関連付けられているエンティティ・グループを複数選択し、選択したグループからエンティティを削除できます。注意: 組織IDからユーザーを削除することは推奨されません。 |
次の表に、グループ特性のサマリーを示します。
グループ列に、システム内で使用可能なグループのタイプを示します。
グループ・メンバー・タイプ列に、レコードがプリミティブ型(LONG、文字列および整数)であるか構造型であるかを示します。構造型の例としてはアクションがあり、これには名前、IDおよびメッセージが含まれます。
キャッシュ列に、そのグループに推奨されるキャッシュ・オプションを示します。
作成列に、グループのユーザー・インタフェースを使用してグループを作成できるかどうかを示します。
編集列に、グループのユーザー・インタフェースを使用してグループを編集できるかどうかを示します。
表12-4 グループ特性のサマリー
# |
グループ | グループ・メンバー・タイプ | キャッシュ | 作成 | 編集 |
---|---|---|---|---|---|
1 |
アクション |
構造型 |
はい |
いいえ |
いいえ |
2 |
認証ステータス |
LONG型 |
はい |
いいえ |
いいえ |
3 |
接続タイプ |
LONG型 |
はい |
いいえ |
いいえ |
4 |
接続スピード |
LONG型 |
はい |
いいえ |
いいえ |
5 |
ルーティング・タイプ |
文字列 |
はい |
いいえ |
いいえ |
6 |
トランザクション・ステータス |
構造型 |
はい |
いいえ |
いいえ |
7 |
アラート |
構造型 |
はい |
はい |
はい |
8 |
汎用整数、汎用文字列、汎用ロング |
整数型、文字列型、LONG型 |
はい |
はい |
はい |
9 |
ASN |
文字列 |
はい |
はい |
はい |
10 |
IPキャリア |
文字列 |
はい |
はい |
はい |
11 |
トップ・レベル・ドメイン |
文字列 |
はい |
はい |
はい |
16 |
第2レベル・ドメイン |
文字列 |
はい |
はい |
はい |
12 |
市区町村 |
文字列 |
はい |
いいえ |
いいえ |
13 |
国 |
文字列 |
はい |
いいえ |
いいえ |
14 |
都道府県 |
文字列 |
はい |
いいえ |
いいえ |
15 |
ISP |
文字列 |
いいえ |
はい |
はい |
17 |
デバイスID |
LONG型 |
はい |
はい |
はい |
18 |
IP |
IP |
はい |
はい |
はい |
19 |
IP範囲 |
構造型 |
はい |
はい |
はい |
20 |
ユーザー名 |
文字列 |
はい |
はい |
はい |
21 |
ユーザーIDグループ |
文字列 |
はい |
はい |
はい |
グループを作成する手順は次のとおりです。
グループ・タイプ全体で同じグループ名を使用することはできません。たとえば、Blockという名前のアクション・グループが存在する場合、blockという名前のユーザー名グループは作成できません。
「グループ名」および「グループ・タイプ」は必須フィールドです。
ナビゲーション・ツリーで、「グループ」をダブルクリックします。グループ検索ページが表示されます。
グループ検索ページから、「新規グループ」ボタンまたはアイコンをクリックします。
作成ページを開く別の方法は、3.9項「検索、作成およびインポート」を参照してください。
「グループの作成」画面が表示されます。
「グループの作成」画面で、グループ名および説明を入力します。
グループ名は一意である必要があります。
「グループ・タイプ」リストから、グループ・タイプを選択します。
タイプは、表12-1のとおりです。
キャッシュ・ポリシーを「フル・キャッシュ」または「なし」に設定します。
注意: ISPグループはキャッシュできません。 |
「OK」をクリックしてグループを作成するか、または「取消」をクリックして変更を取り消します。
「OK」をクリックした場合は、新規グループが作成されます。
確認ダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。
新規グループのグループ詳細ページが表示されます。
これで、新しいグループにメンバーを追加できます。
複数のグループ・タイプがあるため、グループにメンバーを追加する手順はグループ・タイプに応じて異なります。次の表を参照して、作成するグループに適切な手順を確認してください。
注意: 「ブラックリストに記載された国」のような特定のグループ・タイプにグループ・メンバーを追加すると、ルールが事前に構成されているために、これらのメンバーは自動的に処理されます。 たとえば、「ブラックリストに記載された国からのログインかどうかを確認する」というルールが事前に構成され、デフォルトで「ブラックリストに記載された国」に付加されています。そのため、このグループにメンバーを追加すると、自動的にルール処理が開始されます。 |
メンバーを検索した場合、すでにグループに含まれているメンバーは検索結果に表示されません。
注意: 列挙要素を有効にするには、サーバーを再起動する必要があります。列挙グループ・タイプには、アクション、接続スピード、接続タイプなどがあります。 |
グループに追加する新規メンバーの作成(検索/フィルタ・オプションなし)
表12-5に示すグループでは、検索またはフィルタのオプションなしでメンバーを追加します。
表12-5に示されているグループにメンバーを追加する場合は、12.11項「新規要素/メンバーを作成してグループに追加(検索/フィルタ・オプションなし)」を参照してください。
表12-5 新規メンバーの作成(検索オプションなし)
グループ | グループ・タイプ | メンバー・タイプ | 作成 |
---|---|---|---|
汎用整数、汎用文字列、汎用ロング |
データベース |
整数型、文字列型、LONG型 |
はい |
ASN |
データベース |
文字列 |
はい |
IPキャリア |
データベース |
文字列 |
はい |
トップ・レベル・ドメイン |
データベース |
文字列 |
はい |
第2レベル・ドメイン |
データベース |
文字列 |
はい |
既存リストのフィルタリングによる、市区町村、都道府県および国からのメンバーの追加(作成オプションなし)
表12-6に示すグループでは、既存のリストをフィルタリングしてメンバーを検索してから、そのメンバーをグループに追加することによって、市区町村、都道府県または国からメンバーを追加します。これらのグループでは、要素は作成できません。
表12-6に示されているグループにメンバーを追加する場合は、12.12項「既存のリストをフィルタリングしてグループに追加する要素を選択(新規要素の作成なし)」を参照してください。
表12-6 既存リストのフィルタリングによるメンバーの追加(作成オプションなし)
グループ | グループ・タイプ | メンバー・タイプ | 作成 |
---|---|---|---|
市区町村 |
データベース |
文字列 |
いいえ |
国 |
データベース |
文字列 |
いいえ |
都道府県 |
データベース |
文字列 |
いいえ |
表12-7に示すグループでは、既存要素を検索するか新規要素を作成してから、これをグループに追加することによって、要素を追加します。
表12-7に示されているグループに要素を追加する場合は、12.13項「既存要素の検索と追加、または新規要素の作成と追加」を参照してください。
表12-7 既存要素の検索または新規要素の作成
グループ | グループ・タイプ | メンバー・タイプ | 作成 |
---|---|---|---|
ISP |
データベース |
文字列 |
はい |
デバイスID |
データベース |
LONG型 |
はい |
IP |
データベース |
IP |
はい |
IP範囲 |
データベース |
構造型 |
はい |
ユーザー名 |
データベース |
文字列 |
はい |
ユーザーIDグループ |
データベース |
文字列 |
はい |
アラートの場合、既存のアラートを検索するかまたは新規アラートを作成してから、これをアラート・グループに追加できます。
アラート・グループにアラートを追加する場合は、12.14項「グループへのアラートの追加」を参照してください。
表12-8に示すグループでは、既存要素を検索してからこれをグループに追加することによって、メンバーを追加します。グループ・ユーザー・インタフェースを使用して新規要素を作成するオプションはありません。新規要素を作成するには、プロパティ・エディタを使用する必要があります。
表12-8に示されているグループに要素を追加する場合は、12.15項「既存要素の検索および追加」を参照してください。
次のグループでは、要素の値を入力して新規要素/メンバーを追加します。
グループに要素を追加するには:
グループ詳細ページで、「メンバーの追加」をクリックします。
「メンバーの追加」ダイアログが表示されます。
「メンバーの追加」ダイアログで、グループに追加する新規メンバーの値を入力します。
「追加」をクリックしてグループにメンバーを追加するか、または「取消」をクリックして変更を取り消します。
「追加」をクリックした場合、メンバーが作成され、追加されます。「新規要素は正常に作成されました」というメッセージを含む確認ダイアログが表示されます。
「OK」をクリックします。
グループ詳細ページが表示されます。
次に示すグループでは、既存のリストをフィルタリングしてから、追加する要素を選択することによって、メンバーを追加します。これらのグループでは、要素は作成できません。
注意: 市区町村、都道府県または国のロケーション・グループを作成するには、地理的位置データを移入する必要があります。地理的位置データは、国、都道府県および市区町村に関する情報を提供します。 |
市区町村グループに市区町村を追加するには:
グループ詳細ページの「市区町村」タブで、「追加」をクリックします。
「市区町村の追加」ダイアログが表示されます。
使用可能な国のドロップダウンから、国を選択します。
その国の都道府県が、都道府県ドロップダウンから選択できるようになります。
使用可能な都道府県のドロップダウンから、都道府県を選択します。
選択した都道府県に基づいて、市区町村が「使用可能な市区町村」表に一覧表示されます。
「使用可能な市区町村」表から、グループに追加する1つ以上の市区町村を選択します。
「追加」をクリックします。
市区町村が正しくグループに追加されます。
都道府県グループに都道府県を追加するには:
グループ詳細ページの「都道府県」タブで、「追加」をクリックします。
「メンバーの追加」ダイアログが表示されます。
国を選択します。
使用可能な国を選択すると、使用可能な都道府県が「都道府県」表に一覧表示されます。
「使用可能な都道府県」表から、グループに追加する1つ以上の都道府県を選択します。
「追加」をクリックします。
都道府県が正しくグループに追加されます。
次に示すグループでは、既存要素を検索して追加するか、または新規要素を作成して追加できます。
メンバーを検索した場合、すでにグループに含まれているメンバーは検索結果に表示されません。
アラート・グループ用の手順は前述の他のグループとは異なるため、別の項で説明します。
既存要素をグループのメンバーとして追加するには、次の手順を実行します。
グループ詳細ページで、「メンバーの追加」をクリックします。
メンバーの追加ページが表示されます。
メンバーの追加ページで、既存の要素から検索して選択を選択します。
要素または要素リストを検索するためのフィルタ基準を指定して、「検索」をクリックします。
グループに含める各要素を選択します。
「追加」をクリックして要素をグループのメンバーとして追加するか、または「取消」をクリックして変更を取り消します。
要素が正常に追加されると、確認ダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。
例1: グループ・インタフェースを使用した、関心のあるグループへのデバイスの追加
グループに既存のデバイスを追加するには:
OAAM管理コンソールにログインします。
ナビゲーション・ツリーで、「グループ」をダブルクリックします。
デバイス・グループを検索します。
「検索結果」表で、デバイス・グループの名前をクリックします。「デバイス詳細」ページが表示されます。
「メンバー」タブをクリックします。
ツールバーの「このグループにメンバーを追加」アイコンをクリックします。「デバイスの追加」ダイアログが表示されます。
「既存のデバイスから検索して選択」オプションを選択して、デバイスIDを検索します。
デバイスIDを選択し、「追加」をクリックします。
「OK」をクリックして、確認ダイアログを閉じます。
例2: グループ・インタフェースを使用した、関心のあるグループへのIPの追加
グループに既存のIPを追加するには:
OAAM管理コンソールにログインします。
ナビゲーション・ツリーで、「グループ」をダブルクリックします。
デバイス・グループを検索します。
「検索結果」表で、デバイス・グループの名前をクリックします。「デバイス詳細」ページが表示されます。
「IP」タブをクリックします。
ツールバーの「このグループにメンバーを追加」アイコンをクリックします。「デバイスの追加」ダイアログが表示されます。
「既存のIPから検索して選択」オプションを選択して、IPアドレスを検索します。
IPアドレスを選択し、「追加」をクリックします。
「OK」をクリックして、確認ダイアログを閉じます。
アラート・グループにアラートを追加する手順を次の項に示します。
既存のアラートから選択してアラート・グループに追加するには:
グループ詳細ページの「アラート」タブで、「メンバーの追加」をクリックします。
メンバーの追加ページで、既存の要素から検索して選択を選択します。
関心のある特定のアラートまたはアラートのリストの基準を指定して、「検索」をクリックします。
「検索結果」表で、アラート・グループに含めるアラートを選択します。
「追加」をクリックしてグループにアラートを追加するか、または「取消」をクリックして変更を取り消します。
「追加」をクリックすると、アラートが追加されます。
確認ダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。
追加したアラートを含むグループ詳細ページが表示されます。
既存のアラートが別のグループに追加されている場合は、そのアラートのコピーが別の一意のアラートIDで追加されます。アラートの1つに含まれるメッセージを変更しても、その変更は他のアラートには伝播されません。
新規アラートを作成してアラート・グループに追加するには:
グループ詳細ページの「アラート」タブで、「メンバーの追加」をクリックします。
メンバーの追加ページで、新規要素の作成を選択します。
アラート・タイプを選択します。
選択できるアラート・タイプは、「不正」、カスタマ・ケア、「情報」、「調査」です。
アラート・レベルを選択します。
選択できるアラート・レベルは、「低」、「中」、「高」および「情報」です。
「アラート・メッセージ」ボックスにアラート・メッセージを入力します。
たとえば、不正の高アラートではマネージャへの通知を要求できますが(カスタマイズしたメッセージに管理者の電話番号を含める)、情報アラートにメッセージを含めることはできません。
「追加」をクリックして新規アラートを作成し、アラート・グループに追加するか、または「取消」をクリックして変更を取り消します。
「追加」をクリックすると、アラートが追加されます。
確認ダイアログが表示されたら、「OK」をクリックしてダイアログを閉じます。
次に示すグループでは、既存要素を検索してグループに追加することのみできます。新規要素を作成するオプションはありません。
要素を作成または編集するには、プロパティ・エディタを使用する必要があります。
メンバーを検索した場合、すでにグループに含まれているメンバーは検索結果に表示されません。
アクション・グループ用の手順は前述の他のグループとは異なるため、別の項で説明します。
既存要素をグループのメンバーとして追加するには、次の手順を実行します。
グループ詳細ページで、「メンバーの追加」をクリックします。
メンバーの追加ページが表示されます。
メンバーの追加ページで、既存の要素から検索して選択を選択します。
要素または要素リストを検索するためのフィルタ基準を指定して、「検索」をクリックします。
グループに含める各要素を選択します。
「追加」をクリックして要素をグループのメンバーとして追加するか、または「取消」をクリックして変更を取り消します。
要素が正常に追加されると、確認ダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。
アクション・グループにアクションを追加するには、次の手順を実行します。
既存のアクションからアクションを検索して選択するには:
グループ詳細ページの「アクション」タブで、「メンバーの追加」をクリックします。
メンバーの追加ページで、既存の要素から検索して選択を選択します。
検索フィルタを使用し、「検索」をクリックして、特定のアクションまたはアクションのリストを検索します。
アクションのリストには、「許可」、「ブロック」、「チャレンジ」、その他のアクションが含まれます。
グループに含める各アクションの行を選択し、「追加」をクリックします。
確認ダイアログが表示されたら、「OK」をクリックします。
アクションが「アクション・グループ」に追加され、グループ詳細ページに新規アクションが表示されます。
メンバーを編集できるグループのリストについては、表12-14「グループのメンバーの編集」を参照してください。
第12.5項「グループ検索ページへのナビゲート」の説明に従って、グループ検索ページにナビゲートします。
検索フィルタに基準を指定して、編集するメンバーが含まれるグループを検索します。
「検索」をクリックします。
グループのリストで、メンバーが含まれるグループの名前をクリックします。
「メンバー」タブで、メンバーを選択して「編集」ボタンをクリックします。
「要素の編集」画面で、適切に変更します。
変更を保存する場合は「適用」をクリックし、破棄する場合は「元に戻す」をクリックします。
グループのメンバーを削除するには:
第12.5項「グループ検索ページへのナビゲート」の説明に従って、グループ検索ページにナビゲートします。
検索フィルタに基準を指定して、削除するメンバーが含まれるグループを検索します。
「検索」をクリックします。
「結果」表で、メンバーを削除するグループを選択します。
グループ詳細ページが表示されます。
「メンバー」タブで、削除するグループ・メンバーを選択し、「削除」をクリックします。
グループからメンバーを削除するかどうかを尋ねる確認ダイアログが表示されます。
「はい」をクリックします。
選択したメンバーが正常に削除されたというメッセージを含むダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。
ユーザー・グループからユーザーを削除するには:
第12.5項「グループ検索ページへのナビゲート」の説明に従って、グループ検索ページにナビゲートします。
ユーザーを削除するグループを検索する基準を指定します。
「検索」をクリックします。
「結果」表で、ユーザー・グループの名前をクリックします。
「グループ詳細」ページで、「ユーザーID」タブをクリックします。
削除するユーザーのユーザーIDを含む行を選択し、「削除」をクリックします。
「グループからメンバーを削除しますか。」というメッセージを含むダイアログが表示されます。
「はい」をクリックして確認します。
「選択したメンバーは正常に削除されました」というメッセージを含む確認ダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。
グループのエクスポートおよびインポート・コマンドを使用して、グループをZIPファイルとしてエクスポートおよびインポートできます。
グループをエクスポートするには:
第12.5項「グループ検索ページへのナビゲート」の説明に従って、グループ検索ページにナビゲートします。
検索フィルタに基準を指定して、グループを検索します。
エクスポートするグループに対応する行をすべて選択します。
「アクション」メニューから「選択項目のエクスポート」を選択します。
エクスポート・ダイアログが表示されたら、ファイルの保存を選択し、「OK」を選択します。
ファイルがエクスポートされ、ZIPファイルとして保存されます。
第12.5項「グループ検索ページへのナビゲート」の説明に従って、グループ検索ページにナビゲートします。
グループ検索ページで、「グループのインポート」ボタンをクリックします。「グループのインポート」画面が表示されます。
「グループのインポート」ダイアログ・ボックスにファイルのパスおよび名前を入力するか、「参照」(...)ボタンを使用して、グループが含まれるZIPファイルを探し、そのファイルを選択します。
「オープン」をクリックしてから、「OK」をクリックします。
「インポートされたリスト」ダイアログが表示され、インポートされたグループのリストが一般詳細とともに表示されます。
「OK」をクリックします。
ファイルに、既存のグループと同じ名前のグループが含まれている場合、そのグループは更新/上書きされます。ファイルに、存在しない名前のグループが含まれている場合、そのグループはシステムに追加されます。
削除スクリプトをインポートした場合、グループはシステムから削除されます。
無効な形式でグループをインポートしようとすると、エラーが表示されます。
第12.5項「グループ検索ページへのナビゲート」の説明に従って、グループ検索ページにナビゲートします。
グループ検索ページで、検索フィルタに特定の基準を指定し、「検索」をクリックして、関心のある特定のグループまたはグループのリストを検索します。
削除する各グループに対応する行を選択し、「削除」をクリックします。
削除対象として選択したグループが使用されていないかまたはポリシーにリンクされていない場合は、確認を求めるダイアログが表示されます。「はい」と答えると、これらのグループが削除されます。
削除対象として複数のグループを選択した場合に、一部のグループが使用されているかまたは他のシステムにリンクされていると、どのグループが削除可能で、どのグループが使用中またはリンクされているために削除できないかを通知するメッセージが表示されます。使用中またはリンクされているグループごとに、使用状況ツリーへのリンクを使用できます。ダイアログでは、使用中でないグループを削除するオプションも提供されます。
グループを本当に削除するかどうかを尋ねる確認ダイアログが表示されます。
「はい」をクリックしてグループを削除します。
選択したグループが正常に削除されたというメッセージを含むダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。
XMLファイルでグループを直接更新できます。たとえば、サード・パーティのサービスから取得した高リスクIPの月次リストに基づいて、ブラックリストに記載されたIPグループに対し、バルク更新を実行できます。
更新するグループをエクスポートします。
詳細は、12.19.1項「グループのエクスポート」を参照してください。
XMLを開いて、必要な編集を行います。
グループをインポートして、前のバージョンを上書きするかまたは前のバージョンに追加します。
詳細は、12.19.2項「グループのインポート」を参照してください。
この項では、グループのサンプル・ユース・ケースを示します。
Chuckは管理者で、10.1.4.5のデプロイメントを11g R1以降に移行しているところです。彼は、アップグレードした環境に既存のグループをインポートする必要があります。10.1.4.5から11g R1以降に適切に移行するために、すべてのグループ・タイプをテストする必要があります。
ナビゲーション・ツリーで「グループ」を開きます。
グループ検索ページで、「グループのインポート」をクリックします。
エクスポートしたグループのZIPファイルをインポートします。
グループが含まれるZIPファイルを参照します。
「OK」をクリックします。
「グループのインポート」確認画面が開き、インポートされたグループの情報(グループ名、グループ・タイプ、キャッシュ・タイプおよびノート)が表示されます。「OK」をクリックします。
(10.34.4項「ユース・ケース: 新規ルールの追加」で)作成した速度ルールに、ルールがトリガーされたことおよびその理由を調査担当者が簡単に確認できるように、アラート・グループを割り当てる必要があります。使用方法: High velocity userという名前の新規アラート・グループを作成します。「User appears to have traveled faster than 500 MPH since last login」といった、調査担当者に役立つ速度ルールのメッセージを作成します。
アラート・グループを作成して、メンバーを追加するには:
セキュリティ管理者としてOAAM管理にログインします。
ナビゲーション・ツリーで、「グループ」をダブルクリックします。グループ検索ページが表示されます。
グループ検索ページで、再利用する既存のアラート・グループを検索します。
「グループ・タイプ」として「アラート」が、「グループ名」の一部として「velocity」が指定されているグループを検索します。
「検索結果」表からグループを選択します。
グループ詳細ページで、「アラート」タブをクリックします。
アラート・グループ内のアラートが表示されます。
いずれかのアラートが要求を満たしているかどうかを確認します。
手順b、cおよびdを繰り返します。
このユース・ケースに適用できるメッセージがアラート・グループに含まれていないため、新規アラートを作成します。
「アラート」グループを作成します。
「新規グループ」をクリックし、新規アラート・グループを作成します。「新規グループ」画面が表示されます。
「グループ名」フィールドに、High velocity userと入力します。
「グループ・タイプ」リストから、「アラート」を選択します。
「キャッシュ・ポリシー」リストから、「フル・キャッシュ」のキャッシュ・ポリシーを選択します。
「説明」フィールドに説明を入力します。
「OK」をクリックします。確認のメッセージが表示されます。
「OK」をクリックして、確認ダイアログを閉じます。
新しいHigh velocity userグループが正常に作成され、グループ詳細ページが表示されます。
速度が妥当ではないユーザーに関するメッセージを含むアラートを追加します。
グループにアラートを追加するために、「アラート」タブをクリックします。
「アラート」タブで、「メンバーの追加」ボタンをクリックします。
メンバーの追加ページで、新規要素の作成を選択します。
「アラート・タイプ」として、「CSR」を選択します。
「アラート・レベル」として、「中」を選択します。
「アラート・メッセージ」として、「User appears to have traveled faster than 500 MPH since last login」と入力します。
「追加」をクリックし、グループにアラートを追加します。
「新規要素は正常に作成されました」というメッセージを含む確認ダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。
High velocity userグループが、グループ検索ページの「検索結果」表に表示されます。
このアラート追加シナリオの代替として、「User appears to have traveled faster than 500 MPH since last login」というメッセージを検索して、グループにアラートを追加するという方法もあります。
リスクの高いアクティビティを持つユーザー向けに、制限付きユーザー・グループが作成されています。会社およびユーザーは、この実装で保護されています。セキュリティ・チームでは、四半期ごとにこのグループ内のユーザーを確認したり、カスタマの問題がいつ調査されるかを確認します。使用方法: パートA: Phillipの直近6か月のアクティビティのみを表示するようにフィルタリングしたセッション検索を実行します。Phillipを制限付きユーザー・グループに追加します。パートB: 間違えてしまったため、制限付きユーザー・グループからPhillipを削除します(セキュリティ・チームの慣例でこのようにすることが推奨されているため)。
調査担当者としてOAAM管理にログインします。
ナビゲーション・ツリーで「セッション」をダブルクリックします。セッション検索ページが表示されます。
セッション検索ページで、次の基準を使用して検索を実行します。
「ログイン時間」フィールドに、過去6か月の開始日および終了日を入力します。
「ユーザー名」フィールドに、Phillipのユーザー名を入力します。
「アラート・レベル」で、「高」を選択します。
重大度の高いセキュリティ・アラートは他にはありません。
検索結果の「ユーザーID」列から、PhillipのユーザーIDをコピーします。
ナビゲーション・ツリーで、「グループ」をダブルクリックします。
グループ検索ページで、「制限付きユーザー」グループを検索します。
「結果」表で、「制限付きユーザー」というグループ名をクリックします。
「グループ詳細」ページで、「ユーザーID」タブをクリックします。
「追加」をクリックします。
メンバーの追加画面で、新規要素の作成を選択します。
「ユーザーID」にPhillipのユーザーIDを入力し、「追加」をクリックします。
「新規要素は正常に作成されました」というメッセージを含む確認ダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。
間違えたことがわかったため、制限付きユーザー・グループからPhillipを削除する必要があります(セキュリティ・チームの慣例でこのようにすることが推奨されているため)。
ナビゲーション・ツリーで、「グループ」をダブルクリックします。
グループ検索ページで、「制限付きユーザー」グループを検索します。
「結果」表で、「制限付きユーザー」というグループ名をクリックします。
「グループ詳細」ページで、「ユーザーID」タブをクリックします。
PhillipのユーザーIDを含む行を選択し、「削除」をクリックします。
「グループからメンバーを削除しますか。」というメッセージを含むダイアログが表示されます。
「はい」をクリックして確認します。
「選択したメンバーは正常に削除されました」というメッセージを含む確認ダイアログが表示されます。
「OK」をクリックしてダイアログ・ボックスを閉じます。
指定した国グループにIPが含まれているユーザーをブロックするには:
ポリシー検索ページにナビゲートします。
必要な検索基準を入力し、「検索」をクリックします。
「結果」表で、編集するポリシーの名前をクリックします。
ポリシー詳細ページが表示されます。
ポリシー詳細ページで、「ルール」タブをクリックします。
「ルール」タブで、「追加」をクリックします。
「新規ルール」ページで、ルール名としてLocation: From IPを入力します。
「条件」タブをクリックします。
「条件」ページで、「追加」をクリックします。
「条件の追加」ページが表示され、ここで「ロケーション: 国グループ内」条件を検索および選択して、この条件をルールに追加できます。
「OK」をクリックします。
条件のパラメータが下部のサブパネルに表示されます。
パラメータ領域の「国グループ内の国」で、「ブラックリストに記載された国」グループを選択します。
「保存」をクリックします。
「結果」タブで、アクション・グループとして「ブロック」を選択します。
「適用」をクリックします。
この項では、ポリシーおよびルールでのグループの動作例を示します。
この例では、会社Aで、通常はカスタマがログインしない一連の国からの高リスク・アラートが著しく増加していることが観察されています。会社Aでは、これらの国のユーザーをブロックしたいと考えています。
高リスクの国のユーザーをブロックするポリシーの作成手順の概要を、次の各項に示します。このポリシーでは3つのグループを作成します。
「国」グループ・タイプには、不正な行為をした国の名前が含まれています。
続いて、次の属性を使用して国グループを作成してから、グループを編集してメンバーを追加します。
アラートは、不正行為分析者へのインジケータになります。このアラート・グループは、ブロックされている国のユーザーがログインして、ルールがトリガーされ、高アラートが出力される場合に使用されます。グループには、トリガーされるアラートが含まれます。
次の属性を使用して、不正の高アラート・グループを作成します。
表12-17 不正の高アラート・グループ
属性 | 値 |
---|---|
グループ名 |
Loc_Blacklist |
グループ・タイプ |
アラート |
キャッシュ・ポリシー |
フル・キャッシュ |
説明 |
OAAM Location Blacklist Group |
続いて、次のように設定してグループを編集します。
「アラート・レベル」をALERT_HIGHに設定
「アラート・タイプ」を「不正」に設定
「アラート・メッセージ」をLOC_BLACK LIST COUNTRYに設定
ルールの結果はアクションで、このアクションは、ブロックされている国からユーザーがログインした場合に当然のこととして実行されるもので、この場合は、このユーザーをブロックし、「You Have Been Blocked」といった適切なメッセージが表示されるページにユーザーをリダイレクトするよう、クライアント・アプリケーションに指示します。
次の属性を使用して、ブロック・アクション・グループを作成します。
使用可能なアクションから「ブロック」を選択して、グループを編集します。
ルールがトリガーされたときに、このリストに含まれる国からログインしているすべてのユーザーがブロックされるように、ブラックリストに記載された国グループをルールに付加します。
OAAM管理で、BlackListCountryポリシーを検索します。
「ロケーション: 国グループ内」条件を含むLocCountry_Ruleを追加します。
次のようにポリシーを定義します。
グループ内: True
国グループ内の国: Country_blacklist
スコア: 1000
重み: 100
アクション・グループ: Block
アラート・グループ: Loc_Blacklist
グループ・リンク: グループ・タイプを「ユーザーID」に設定します。
「グループ」から、グループを選択します。
ポリシーで、疑わしいアクティビティが識別されている国のユーザーをブロックする場合は、ブロックされる国グループ、不正の高アラート・グループ、ブロック・アクション・グループを作成できます。
ブロックされる国グループ: 不正として識別されている国の名前を「国」グループ・タイプに移入します。
不正の高アラート・グループ: このグループには、不正なシナリオが発生したことを分析者に示すためにトリガーされるアラートが含まれます。このグループは、ブロックされている国のユーザーがログインして、ルールがトリガーされ、高アラートが出力される場合に使用されます。
ブロック・アクション・グループ: ルールの結果はアクションで、このアクションは、ユーザーがブロックされている国からログインした場合に(当然のこととして)実行されるものです。この場合は、このユーザーをブロックし、「You Have Been Blocked」といった適切なメッセージが表示されるページにユーザーをリダイレクトするよう、クライアント・アプリケーションに指示します。
ポリシーで、安全圏としてホワイトリストに記載されているIPアドレスのユーザーのみを許可する場合は、IPおよび調査の中アラート・グループを作成できます。
IPグループ: 機関によって安全圏としてホワイトリストに記載されているIPアドレスを「IP」グループ・タイプに移入します。安全圏としてホワイトリストに記載されているIPアドレスのユーザーのみを許可します。
調査の中アラート・グループ: アラートは、不正行為分析者へのインジケータになります。ホワイト・リスト・グループに含まれていないIPアドレスからログインしたユーザーによって、中アラートが生成されます。アラート・タイプは「調査」です。
ポリシーで、不正なアクティビティが報告されているデバイスからのユーザーをチェックする場合は、デバイス・グループおよび情報アラート・グループを作成できます。
デバイス・グループ: 疑わしいと識別されているデバイスを「デバイス」グループ・タイプに移入します。デバイスは、基本的にはブラウザ、特性、Flash、Cookieなどの多数の属性に基づいて生成されるIDです。
情報アラート・グループ: アラートは、不正行為分析者へのインジケータになります。不正な動作が識別されているデバイス(デバイス・グループに登録されている)からユーザーがログインすると、ルールがトリガーされ、情報タイプのアラートが出力されます。