Oracle® Fusion Middleware

Identity Managementリリース・ノート

11gリリース1 (11.1.1.7)

E57529-01(原本部品番号:E54961-02)

2014年8月

Oracle Identity Management製品のインストール、アップグレード、構成および管理に関する情報が含まれます。このリリースの既知のソフトウェア問題とその回避策に関する情報も含まれます。

Oracle Fusion Middleware Identity Managementリリース・ノート, 11gリリース1 (11.1.1.7)

E57529-01

Copyright © 2001, 2014, Oracle and/or its affiliates. All rights reserved.

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

このソフトウェアまたは関連ドキュメントを、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供する場合は、次の通知が適用されます。

U.S. GOVERNMENT RIGHTS Programs, software, databases, and related documentation and technical data delivered to U.S. Government customers are "commercial computer software" or "commercial technical data" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations. As such, the use, duplication, disclosure, modification, and adaptation shall be subject to the restrictions and license terms set forth in the applicable Government contract, and, to the extent applicable by the terms of the Government contract, the additional rights set forth in FAR 52.227-19, Commercial Computer Software License (December 2007). Oracle America, Inc., 500 Oracle Parkway, Redwood City, CA 94065.

このソフトウェアもしくはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアもしくはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用する際、安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

OracleおよびJavaはOracle Corporationおよびその関連企業の登録商標です。その他の名称は、それぞれの所有者の商標または登録商標です。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXは、The Open Groupの登録商標です。

このソフトウェアまたはハードウェア、そしてドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても一切の責任を負いかねます。

目次

タイトルおよび著作権情報

はじめに

- 対象読者

- ドキュメントのアクセシビリティについて

- 関連ドキュメント

- 表記規則

1 概要

- 1.1 最新リリース情報

- 1.2 このマニュアルの目的

- 1.3 システム要件と仕様

- 1.4 動作保証情報

- 1.4.1 Oracle Fusion Middlewareの動作保証情報の場所

- 1.4.2 動作保証の例外

- 1.4.2.1 Oracle Database 11.2.0.1でのOracle Fusion Middleware 11g R1の動作保証情報

- 1.4.2.2 Windows VistaクライアントでのExcelエクスポートの問題

- 1.4.2.3 Windows VistaとWindows XPでのOracle FormsおよびOracle Reports 11gのインストーラの問題

- 1.4.2.4 特定のブラウザでの制限事項

- 1.4.3 Sun JDK 1.6.0_07から1.6.0_11へのアップグレード

- 1.4.4 JMSDELIVERYCOUNTが正しく設定されない

- 1.4.5 Safari 4でRAW XMLソースを表示するためにビューア・プラグインが必要である

- 1.5 必要なパッチのダウンロードおよび適用

- 1.6 ライセンス情報

2 Oracle Adaptive Access Manager

- 2.1 一般的な問題と回避策

- 2.1.1 ヘッダーのIPアドレスが無効な場合、OAAMセッションが記録されない

- 2.1.2 セッション内のチェックポイント・ボックスが同じタイムスタンプで表示される

- 2.1.3 自動生成されたエージェント・ケースでユーザー固有データが表示される

- 2.2 ポリシー管理の問題および回避策

- 2.2.1 2つのエンティティ・インスタンスの対応する属性でルール条件「フィルタ条件を使用した現在のトランザクションの確認」を構成できない

- 2.2.2 連続トランザクションをチェックするルール条件がエンティティ・チェックに失敗する

- 2.2.3 ユーザーおよびデバイス速度ルール条件の「IPリストの除外」パラメータ

- 2.2.4 OAAMオフラインでは最後に実行されたルールのみが表示され前のルールは上書きされる

- 2.2.5 「ユーザー: 初回ログイン時間の確認」ルール条件が常にトリガーされる

- 2.3 トランザクションの問題および回避策

- 2.3.1 OAAMでは最後に実行されたルールのみが表示され前のルールは上書きされる

- 2.3.2 OAAMは「セッション詳細」に25のトランザクションのみを表示する

- 2.3.3 25トランザクションより多くのアラートは表示されない

- 2.3.4 OAAMトランザクションは16桁を超える数値パラメータで作成できない

- 2.3.5 「セッション詳細」で25より後のトランザクションが重複する

- 2.3.6 トランザクションIDとアラートとの関連付けが機能しない

- 2.3.7 OAAMコンソールにトランザクション・ステータスが表示されない

- 2.3.8 トランザクション・マッピングのサブストリングの最初の文字の値でエラー

- 2.3.9 エンティティ・データの変更がなくてもエンティティの更新時刻が更新される

- 2.4 ナレッジベース認証の問題および回避策

- 2.4.1 「登録ロジック」ページにKBAロジックが表示されない

- 2.4.2 回答ロジックの略語のリソースが使用されない

- 2.4.3 FFIECコンプライアンスに応じたKBAの更新

- 2.4.4 イメージおよびセキュリティ・フレーズの登録ページでブラウザを閉じる

- 2.4.5 OAAMでパスワードを変更してもパスワード・フィールドに検証内容が表示されない

- 2.4.6 KBAの更新時にORA-01722が発生する

- 2.4.7 登録した質問が削除され後続のチャレンジが成功しない

- 2.5 統合の問題および回避策

- 2.5.1 setupOAMTapIntegration.shがoaam.uio.oam.secondary.host.portを設定しない

- 2.5.2 OAAMは認証およびパスワード忘れフロー用のJuniperシングル・サインオンをサポートしない

- 2.5.3 ステップアップ認証の変更

- 2.5.4 TAP: 間違ったエラー・メッセージ

- 2.5.5 OAAM 11g SOAPタイムアウト例外処理

- 2.5.6 OAAMはパスワード忘れワークフローでUserManager.Unlock()をコールする必要がある

- 2.6 レポートの問題および回避策

- 2.6.1 「セッションの詳細」ページのアラート・メッセージ・リンクで「アラート詳細」が開かない

- 2.6.2 OAAMルール・ブレークダウン・レポートが正しい情報を提供しない

- 2.7 構成の問題および回避策

- 2.7.1 Unbreakable Enterprise Kernel (UEK)に含まれているOracle Linux 6 (OEL6)、Red Hat Compatible Kernelに含まれているOracle Linux 6 (OEL6)およびRed Hat Enterprise Linux 6 (RHEL6)の認証

- 2.7.2 インストールにデータベースのアーカイブおよびパージ・スクリプトがない

- 2.7.3 CN値が無効でSAMLレスポンスにUID属性がないためJuniperのログインに失敗する

- 2.8 カスタマ・ケアの問題および回避策

- 2.8.1 InvestigatorロールとCSRロールをユーザーに付与するとInvestigatorロールがCSRロールをオーバーライドする

- 2.8.2 一部のケース管理画面にスクロール・バーがなくなる

- 2.8.3 ケース検索およびケース詳細にケース処置が表示されない

- 2.8.4 2人のユーザーが同時にケース・ノートを更新すると追加された最後のノートが間違ったユーザーに帰属する

- 2.8.5 手動で作成されたOAAMエージェントがユーザー名またはユーザーIDで検索できない

- 2.8.6 OAAMでケースの所有権の変更およびノート・アクションのクローズしたケースへの追加が許可される

- 2.8.7 Create Agent Case構成可能アクションに誤ったアクション名が表示される

- 2.8.8 KBAおよびOTPの失敗カウンタのリセットおよびロック解除

- 2.9 パフォーマンスの問題と回避策

- 2.9.1 OAAM管理のセッション検索をスクロールするとメモリー不足エラーが発生する

- 2.10 デバイスのフィンガープリント処理の問題および回避策

- 2.10.1 OAAM .NETでカスタム・ロケールが使用されるとエラーが発生する

- 2.11 地理的位置データ・ローダーの問題および回避策

- 2.11.1 地理的位置情報データをアップロードすると一意制約違反が発生する

- 2.11.2 ファイルに空白行があるとIP位置データ・ローダーは失敗する

- 2.12 多言語サポートの問題および回避策

- 2.12.1 ブラウザの言語がイタリア語の場合、セッションまたはケースのページを開けない

- 2.12.2 ブラウザの言語がポルトガル語(ブラジル)またはスペイン語の場合、OAAM管理コンソールでの日付範囲によるセッション検索およびケース検索が機能しない

3 Oracle Access Manager

- 3.1 パッチ要件

- 3.1.1 アイデンティティ・ストア作成時に診断ログでプレーン・テキストの資格証明が公開される

- 3.2 一般的な問題および回避策

- 3.2.1 フェデレーションによって保護されたリソースが認証なしに表示される

- 3.2.2 Oracle Traffic Directorを使用する場合、SSO認証画面が表示されない

- 3.2.3 OSSOプラグインの登録の問題

- 3.2.4 OAM 11.1.1.5をOAM 11.1.1.7にアップグレードする際の認証スキームの変更

- 3.2.5 PasteConfig IDM (T2P)後に表示されるRemoteRegistrationServerException

- 3.2.6 ログイン後にシステム・エラー・ページが表示される

- 3.2.7 T2Pの構成の貼付け操作が例外で失敗する

- 3.2.8 Webgate 11gのポリシーの作成

- 3.2.9 埋込みBIコンテンツの有効なCookieの送信

- 3.2.10 不正なSSOエージェント日時がユーザーに表示される

- 3.2.11 Webゲート登録後の初期メッセージがユーザーのロケールで表示されない

- 3.2.12 ナビゲーション・ツリーで子ノードを開く際のシングルクリックはサポートされていない

- 3.2.13 登録ツールのユーザー資格証明ではネイティブ・サーバー・ロケールのASCII以外の文字がサポートされていない

- 3.2.14 Oracle Access Manager認証ページのトルコおよびギリシャ文字の問題

- 3.2.15 UTF8以外のロケールのOracle Access Manager認証でASCII以外のパスワードがサポートされない

- 3.2.16 エージェント作成のエラー・メッセージがサーバーのロケールで表示される

- 3.2.17 LDAP検索の参照

- 3.2.18 ASCII以外のリソースでは保護を有効化するためにOHSを再起動する必要がある

- 3.2.19 ASCII以外の文字を含む成功/失敗URLによってリダイレクトURLが文字化けする

- 3.2.20 ASCII以外の文字を含むリソースはOSSOエージェントで保護できない

- 3.2.21 コンソールのログインによる管理サーバー・ログのエラー

- 3.2.22 ナビゲーション・ツリーの「アプリケーション・ドメイン」サブツリーが描画されず、ユーザー・アクションに応答しない

- 3.2.23 無効な値を入力してもeditWebgateAgentコマンドがエラーにならない

- 3.2.24 オフライン・モードでWLSTコマンドdisplayWebgate11gAgentによってWebゲート・エージェント・エントリが2度表示される

- 3.2.25 クラスタ内のサーバーの起動時にメッセージがINFOではなくErrorレベルで記録される

- 3.2.26 WLSTコマンドregisteroifdappartnerにはHelpを使用できない

- 3.2.27 認証フローの先に進むには「続行」をクリックする必要がある

- 3.2.28 OCSP関連のフィールドは必須ではない

- 3.2.29 コンソールで「データベース」ノードが存在しない

- 3.2.30 提供されるオンライン・ヘルプが最新でない可能性がある

- 3.2.31 Oracle Access Manager監査レポートAUTHENTICATIONFROMIPBYUSERによって「FROMキーワードが指定の位置にありません」エラーがスローされる

- 3.2.32 無効: カスタム・リソース・タイプを作成できない

- 3.2.33 WebゲートにASCII以外の名前を使用するとSSOリダイレクト・フローに影響する

- 3.2.34 「認証モジュール」にプライマリ以外のアイデンティティ・ストアが表示される

- 3.2.35 Fusion Middleware Controlの「アイデンティティおよびアクセス」ノードからOAMサーバーを起動および停止できない

- 3.2.36 WebLogic Serverのインストール時に不正なJavaパスが指定されると管理サーバーが起動しない

- 3.2.37 UserIdentityStore1タイプを変更すると管理者がロックアウトされる可能性がある

- 3.2.38 ページ・レイアウトおよびロケール

- 3.2.39 一部のページが正しくローカライズされない

- 3.2.40 Internet Explorerのバージョン7、8、9でのASCII以外の問合せ文字列の問題

- 3.2.41 SSLに対応したOracle Virtual Directory

- 3.2.42 問合せ文字列が正しくエンコードされない

- 3.3 構成の問題および回避策

- 3.3.1 mod-ossoのRedirectMethod値をPOSTにする必要がある

- 3.3.2 Oracle Identity Manager管理コンソールのログアウト後に、ユーザーに対して誤ってセルフユーザー・ログインが表示される

- 3.3.3 コンパクト構成で11g Webゲートをインストールできない

- 3.3.4 IBM JDKをダウンロードしてリモート管理者の構成の問題を修正する

- 3.3.5 リソースがBasic認証スキームを使用して保護されている場合は認証失敗に関連する情報が監査で取得されない

- 3.3.6 本番環境でパートナ情報にアクセスできない

- 3.3.7 互換性のないMsvcirt.dllファイル

- 3.3.8 IPv6のサポート

- 3.3.9 Oracle Access Manager構成で回避または注意すべき事項

- 3.3.9.1 WLSTスクリプトでサポートされていない操作

- 3.3.9.2 Oracle Access ManagerコンソールおよびWLSTでサポートされていない操作

- 3.3.10 インストレーション・ガイドに集中ログアウトの構成手順が含まれていない

- 3.3.11 アップグレード時に管理サーバー・コンソールにNULLポインタ例外が表示される

- 3.3.12 Oracle Access Manager 11gサーバーでのAccess SDKバージョン10.1.4.3.0の使用

- 3.3.13 コンソールを使用したセッションの検索および削除

- 3.3.14 Kerberos認証スキームによって保護されているリソースに対するASCII以外のユーザー

- 3.4 Oracleセキュリティ・トークン・サービスの問題および回避策

- 3.4.1 必要な詳細が省略されると警告が表示されない

- 3.4.2 新規リクエスタ・ページ、Internet Explorerバージョン7および日本語ロケール

- 3.4.3 表に行がないときに「削除」ボタンが無効でない

- 3.4.4 発行テンプレートをコピーしたときにすべての子要素がコピーされない

- 3.4.5 「適用」および「元に戻す」ボタンが有効である

- 3.4.6 Oracle WSMエージェントのログに一般フォルト・エラーのみが書き込まれる

- 3.4.7 サーバー・キー・タブ・ファイルとクライアント・キー・タブ・ファイルは同じバージョンである必要がある

- 3.4.8 WS-Securityに必要なデフォルトのパートナ・プロファイル

- 3.4.9 NameIDが見つからないときに発行されたSAMLトークン

- 3.5 統合および相互運用性の問題および回避策

- 3.5.1 WNA認証がWindows 2008上で機能しない

- 3.5.2 httponlyとマークされたCookieをJVMプラグインが無視する

- 3.6 偽装に関するOracle Access Managerの回避策

- 3.6.1 Internet Explorerのバージョン7、8、9で偽装が失敗する

- 3.6.2 Oracle Access Manager 11gのORA_FUSION_PREFS Cookieドメインのドットが3つである

- 3.7 ドキュメントの訂正箇所

- 3.7.1 『Oracle Fusion Middleware Oracle Access Manager with Oracle Security Token Service管理者ガイド』

- 3.7.2 Oracle Fusion Middleware Oracle Access ManagerおよびOracle Security Token Service開発者ガイド

- 3.7.3 Oracle Fusion Middleware Oracle Access Manager統合ガイド

- 3.7.3.1 OAM-OIM統合の前提条件の更新

- 3.7.3.2 configOIMコマンドのプロパティ

- 3.7.3.3 OIF/SPの統合の更新された例

4 Oracle Entitlements Server

- 4.1 一般的な問題および回避策

- 4.1.1 Oracle Internet Directoryポリシー・ストアでのバックスラッシュの使用

- 4.1.2 Oracle Databaseポリシー・ストアのパフォーマンス・チューニング

- 4.1.3 Internet Explorer 7の使用時にアクション・バーが消える

- 4.1.4 再作成されたアプリケーションが制御モードで配布されない場合がある

- 4.1.5 新しく追加した監査イベントをEnterprise Managerが取得しない

- 4.1.6 認可リクエストに渡された属性が大/小文字を区別して処理される

- 4.1.7 監査スキーマ定義が不完全である

- 4.1.8 IPv6クライアント上のJavaセキュリティ・モジュールがWindowsでサポートされない

- 4.1.9 Windows IPv6ホストでのWebLogicセキュリティ・モジュールのポリシー配布構成に関する問題

- 4.1.10 カスタム機能の属性名の検証

- 4.2 構成の問題および回避策

- 4.3 ドキュメントの訂正箇所

5 Oracle Identity Federation

- 5.1 一般的な問題および回避策

- 5.1.1 認証エンジン用データベース表はbase64形式である必要がある

- 5.1.2 SSLモードのOracle Identity Federation HAに関する考慮事項

- 5.1.3 IDPPROVIDEDNAMEIDVALUEでデータベース列が短すぎるエラー

- 5.2 構成に関する問題と回避策

- 5.2.1 SOAとOIFが同じドメインにある場合のWLST環境変数

- 5.2.2 Oracle Virtual DirectoryにはLSAアダプタが必要

- 5.2.3 リモートWSフェデレーションSPの設定は動的に変更される必要がある

- 5.2.4 WSフェデレーションの信頼できるサービス・プロバイダの作成時に必要なプロパティ

- 5.2.5 レコードの削除後フェデレーテッド・アイデンティティ表がリフレッシュされない

- 5.2.6 デフォルト認証スキームが保存されない

- 5.2.7 アーティファクト・プロファイルを使用して10gと11gのOracle Identity Federationが連携するよう構成

- 5.2.8 OAM 11gの鍵の再生成にOracle Identity Federationアップグレード・スクリプトが必要

- 5.3 ドキュメントの訂正箇所

6 Oracle Identity Manager

- 6.1 パッチ要件

- 6.1.1 My Oracle Support(旧OracleMetaLink)からのパッチの取得

- 6.1.2 Oracle Database 11g (11.1.0.7)のパッチ要件

- 6.1.3 Oracle Database 11g (11.2.0.2.0)のパッチ要件

- 6.1.4 職務の分離(SoD)のパッチ要件

- 6.1.5 パッチのアップグレード要件

- 6.2 一般的な問題および回避策

- 6.2.1 プラットフォーム・アーカイブ・ユーティリティを使用しない

- 6.2.2 SPML-DSMLサービスがサポートされていない

- 6.2.3 リソース・オブジェクト名が100文字を超えるとインポートが失敗する

- 6.2.4 「ユーザーの作成」および「ユーザーの変更」APIを介して作成されたユーザーのステータス

- 6.2.5 Oracle Access Manager統合でロックされているユーザーのステータス

- 6.2.6 ユーザーまたはアカウントのバルク・ロード後に監査スナップショットを生成する

- 6.2.7 ブラウザのタイムゾーンが表示されない

- 6.2.8 SoDタイムスタンプ・フィールドの日付書式変更がサポートされていない

- 6.2.9 UTF-8 BOMエンコーディングを使用するCSVファイルのバルク・ロードがサポートされていない

- 6.2.10 デフォルトのスケジューラ・ジョブ、ジョブ履歴アーカイブの日付タイプ属性がサポートされていない

- 6.2.11 低いファイル制限によりアダプタのコンパイルが妨げられる

- 6.2.12 リコンシリエーション・エンジンにより一致ルールが要求される

- 6.2.13 不正な書式で日付を指定するとSPMLリクエストがレポートされない

- 6.2.14 SoDメッセージが失敗してキュー内でスタックするとログにSoD例外が移入される

- 6.2.15 weblogic.propertiesファイルでバックスラッシュ(\)を使用できない

- 6.2.16 リソースの検索時にアンダースコアを使用できない

- 6.2.17 Assign to Administratorアクション・ルールがリコンシリエーションでサポートされていない

- 6.2.18 Mozilla Firefoxではアテステーション画面の一部のボタンが機能しない

- 6.2.19 ユーザーがロックを解除しようとするとmaxloginattemptsシステム・プロパティによって自動ログインが失敗する

- 6.2.20 Oracle Identity ManagerとOracle Access Managerの統合の設定時に「<ユーザーが見つかりません」というエラー・メッセージが管理サーバー・コンソールに表示される

- 6.2.21 消込照合ルールで一重引用符を使用できない

- 6.2.22 LDAPのロールの調整時に特殊文字を使用できない

- 6.2.23 デフォルトのSoD構成を使用した場合にSAMLトークンのクライアント・ポリシーを使用する際のリクエスト・プロビジョニング時のSoDチェックが失敗する

- 6.2.24 リクエスト・プロビジョニング時にクライアント側ポリシーを使用してコールバックを起動するとSoDチェックが失敗する

- 6.2.25 汎用テクノロジ・コネクタでSPMLが使用されている場合のプロビジョニング時にエラーが表示される

- 6.2.26 Mozilla Firefoxの使用時にTransUIのボタンをクリックできない

- 6.2.27 ロールの作成、削除または変更時にLDAPハンドラによって無効な例外が発生する

- 6.2.28 ASCII以外の文字で構成されたユーザー・パスワードをリセットできない

- 6.2.29 認可ポリシーのパッチ時に無害な例外およびエラー・メッセージが表示される

- 6.2.30 タイ語ロケールでTransUIの日時の取得が正しく機能しない

- 6.2.31 ACCESS POLICY ADMINISTRATORSロールを持たないユーザーはアクセス・ポリシー・レポートのデータを表示できない

- 6.2.32 空の日付に対するエラーがアーカイブ・ユーティリティによってスローされる

- 6.2.33 リソースのダイレクト・プロビジョニングでTransUIが閉じる

- 6.2.34 スケジューラによってRequiredParameterNotSetExceptionのかわりにParameterValueTypeNotSupportedExceptionがスローされる

- 6.2.35 Oracle Identity Manager 11gのアテステーションで一部の新規ユーザー属性がサポートされていない

- 6.2.36 信頼されているリソースのフィールドへのLDAP GUIDマッピングはサポートされていない

- 6.2.37 変更リクエストの結果を読み込む際に「Design Consoleのアクセス」フィールドのユーザー詳細を正しい値にマップする必要がある

- 6.2.38 類似するユーザーが存在する場合にアスタリスクを含むユーザーを作成できない

- 6.2.39 過去のプロキシに対して空白のステータス列が表示される

- 6.2.40 リコンシリエーション・プロファイルの「パスワード」フィールドをマップするとユーザーの作成が妨げられる

- 6.2.41 ユーザー検索の結果にUIDがユーザー・ログインとして表示される

- 6.2.42 ロール/組織の参照ツリーが表示されなくなる

- 6.2.43 データ収集の権限選択はオプションではない

- 6.2.44 コネクタのデプロイ時にOracle Identity Managerサーバーによって一般例外がスローされる

- 6.2.45 「ユーザーの作成」APIでは「ユーザー.パスワードの有効期限なし」、「ユーザー.パスワードの変更不可」および「ユーザー.パスワードの変更が必要」フィールドに任意の値を設定できる

- 6.2.46 GTCのJGraph画面のラベルに誤りがある

- 6.2.47 ワークフロー登録ユーティリティを実行するとエラーが生成される

- 6.2.48 Solaris 64ビットのJVMインストールでネイティブ・パフォーマンス・パックが有効化されない

- 6.2.49 汎用テクノロジ・コネクタの作成ウィザードでのエラー

- 6.2.50 Oracle Identity ManagerでSPML WebサービスのDSMLプロファイルがデプロイされない

- 6.2.51 SOAコンポジットで新規ヒューマン・タスクをコピーする必要がある

- 6.2.52 プロビジョニング済リソースの変更リクエストでサービス・アカウント・フラグがサポートされていない

- 6.2.53 アイデンティティ管理コンソールの「例による問合せ」アイコンが間違っている

- 6.2.54 XL.ForcePasswordChangeAtFirstLoginシステム・プロパティは現在使用されていない

- 6.2.55 tcExportOperationsIntf.findObjects(type,name) APIは両方のパラメータでアスタリスク(*)のワイルドカード文字を受け入れない

- 6.2.56 Mozilla FireFoxで開かれたアクセス・ポリシー・サマリー・ページでリンクが無効である

- 6.2.57 拡張管理で「ITリソース」フォームを編集すると無害なエラーが生成される

- 6.2.58 ユーザー・アカウントがOracle Identity Managerでロックされた後にiPlanetディレクトリ・サーバーでロックされない

- 6.2.59 Oracle Identity ManagerでJavaAgentを使用した自動ログインがサポートされない

- 6.2.60 アクセス・ポリシー、リソースまたはアテステーション・プロセスを開くと無害なエラーがログに記録される

- 6.2.61 ユーザーがOracle Identity ManagerでロックされているがLDAPではロックされていない

- 6.2.62 Xellerate組織のリソース・オブジェクトのリコンシリエーション・プロファイルはDesign Consoleを介して再生成することはできない

- 6.2.63 アップグレード後に「管理」をクリックすると無害なエラーがログに記録される

- 6.2.64 プロビジョニングされたユーザーのアクセス・ポリシーを介したプロビジョニングが失敗する

- 6.2.65 Oracle Identity Managerの管理対象サーバーの起動時に無害な警告メッセージが表示される

- 6.2.66 デプロイメント・マネージャの実行時に無害なメッセージが表示される

- 6.2.67 JREプラグイン1.6_23を備えたMicrosoft Internet Explorer 7を使用したデプロイメント・マネージャのエクスポートが開始時に失敗する

- 6.2.68 「国」属性の値が2文字を超えるとMicrosoft Active Directoryでユーザー作成が失敗する

- 6.2.69 XMLファイル内でスケジュール済タスク・エントリより前にスケジュール済ジョブ・エントリがある場合、デプロイメント・マネージャのインポートが失敗する

- 6.2.70 リソースの取消しに必要なターゲット・ユーザーの権限

- 6.2.71 Oracle Identity Managerのアップグレード・バージョンにリコンシリエーション・ルールがないために信頼できるソース・リコンシリエーションでリコンシリエーション・イベントが失敗する

- 6.2.72 Oracle Identity Managerの管理対象サーバーの起動時のXML検証エラー

- 6.2.73 Design Consoleの「Data Object Manager」フォームでアダプタ・マッピングを表示または編集できない

- 6.2.74 参照整合性プラグインの有効化または無効化時に割当てまたは取消し操作のロール・メンバーシップが更新されない

- 6.2.75 ルールのデータ・レベルが1に設定されている場合、デプロイメント・マネージャのインポートが失敗する

- 6.2.76 変更されていない属性がリコンシリエーション・データに表示される

- 6.2.77 リカバリ対象のスケジュール済ジョブがあるときにスケジューラ・サービスを起動すると無害なエラーが表示される

- 6.2.78 信頼できるソースGTCのリコンシリエーション・マッピングで属性名を完全に表示できない

- 6.2.79 データベース接続テストで無害なエラーがログに記録される

- 6.2.80 デプロイメント・マネージャを介したGTCプロバイダのインポート時にMDS検証エラーが発生する

- 6.2.81 サイズが4000文字を超えると暗号化されたユーザー定義フィールド(UDF)を格納できない

- 6.2.82 コールバック・サービスの失敗によってリクエスト承認が失敗する

- 6.2.83 iPlanetディレクトリ・サーバーを使用したユーザー/ロール増分リコンシリエーションを介してローカライズ済表示名が調整されない

- 6.2.84 ASCII以外の文字を使用したLDAPロール階層およびロール・メンバーシップ・リコンシリエーションによってOracle Identity Manager内の変更が調整されない

- 6.2.85 すべてのオブジェクトがエクスポート対象として選択されている場合、オブジェクトのインポートが失敗する

- 6.2.86 アップグレード後に無害な監査エラーがログに記録される

- 6.2.87 既存のデータのサイズが新規列の長さより大きい場合、コネクタのアップグレードが失敗する

- 6.2.88 ファイルがインポートされていないときにデプロイメント・マネージャでコネクタ・アーティファクトの数が増加する

- 6.2.89 JARのアップロード・ユーティリティを使用したJARファイルのアップロードが失敗する

- 6.2.90 データベース・ユーザーのパスワードの変更が原因でOracle Identity ManagerのデータおよびMTアップグレードが失敗する

- 6.2.91 ロールおよび組織用の「管理詳細」ページで未保存のUDFの回復がサポートされない

- 6.2.92 リクエストが送信された後でユーザー・ステータスの変更確認なしでリソースがユーザーにプロビジョニングされる

- 6.2.93 JDK 6を備えた64ビットのMicrosoft Windowsでユーザーを作成しようとするとUCP接続プールの起動が失敗する

- 6.2.94 データ・サンプルおよびソースとともにJRockitをインストールするとconfig.shコマンドが失敗する

- 6.2.95 Oracle Identity Manager 11g リリース1(11.1.1)で予期しないメモリー使用量になる

- 6.2.96 管理およびユーザー・コンソールに「レポート」リンクが存在しない

- 6.2.97 割り当てられたユーザー・メンバーが削除されたロールを削除できない

- 6.2.98 ロールおよび組織でパスワード・タイプの文字列UDFがサポートされていない

- 6.2.99 デプロイメント・マネージャを使用したコネクタのインポート時のエラー

- 6.2.100 ロールの変更後に「ローカライゼーションの管理」ダイアログ・ボックスが開かない

- 6.2.101 言語固有の表示名値を使用してユーザーを作成できない

- 6.2.102 PeopleSoftリソース用としてユーザーによって作成されたリクエストに対してSoDチェックの結果が表示されない

- 6.2.103 XL.UnlockAfterシステム・プロパティおよびユーザーの自動ロック解除スケジュール・ジョブが機能しない

- 6.2.104 アカウント・ロックアウトのパスワードをリセットしてもユーザーがロック解除されない

- 6.2.105 一部の64ビットのMicrosoft WindowsコンピュータでOracle Identity ManagerおよびSOAサーバーを初めて起動したときに時間がかかる

- 6.2.106 増分リコンシリエーション・ジョブおよび全体リコンシリエーション・ジョブを同時に実行できない

- 6.2.107 MTアップグレード・レポート内の「ロードされたScheduleTaskのJar」表および「サード・パーティのJar」表のコンテンツが正しくない

- 6.2.108 「コネクタ管理 - アップグレード」ウィザードの「アップグレード対象のコネクタ・オブジェクトの選択」ページでスクロールバーを使用できない

- 6.2.109 誤ったデータのためにコンパイルが失敗すると、アダプタ・インポートでアダプタ・ロジックが表示される

- 6.2.110 Oracle Identity ManagerでXIMDDテストが失敗する

- 6.3 構成の問題および回避策

- 6.3.1 Microsoft Active DirectoryコネクタでUDFを検索できるように構成する

- 6.3.2 LDAP同期が有効なときにロール名を作成または変更する

- 6.3.3 ADFの問題によりSun JDK上でOracle Identity Managerを使用できない

- 6.3.4 Oracle Identity ManagerとOracle Access Managerの統合環境でNexawebアプレットがロードされない

- 6.3.5 managed=falseオプションを使用するドメインの圧縮

- 6.3.6 Design ConsoleをSSL対応にするかどうかを指定するためのオプションがない

- 6.3.7 JDK 1.6.0_20でNexawebアプレットがロードされない

- 6.3.8 Microsoft Windows 2008でSun JDK 160_24 (32ビット)を備えたサーバーを起動するとエラーが発生する

- 6.3.9 Oracle Identity ManagerとDesign Consoleは異なるディレクトリ・パスにインストールする必要がある

- 6.3.10 Windows Explorer 8で組織をユーザーに追加する際のエラー

- 6.4 多言語サポートの問題および制限

- 6.4.1 SPMLとOracle Identity Managerの多言語値属性が一致しない

- 6.4.2 一部の特殊文字を含むログイン名は登録に失敗する場合がある

- 6.4.3 「ロールの作成」、「ロールの変更」および「ロールの削除」リクエスト・テンプレートを「リクエスト・テンプレート」リストで選択できない

- 6.4.4 スケジュール済ジョブのパラメータの名前および値が翻訳されていない

- 6.4.5 レガシー・ユーザー・インタフェースでの双方向性の問題

- 6.4.6 ロール名、ロール・カテゴリおよびロールの説明のローカライズがサポートされていない

- 6.4.7 プロビジョニング・タスク表のタスク名のローカライズがサポートされていない

- 6.4.8 スケジュール済タスクの検索結果のローカライズがサポートされていない

- 6.4.9 特定のトルコ文字を含むユーザー・ログイン名を検索するとエラーが発生する

- 6.4.10 使用可能なデータの通知テンプレート・リスト値のローカライズがサポートされていない

- 6.4.11 ドイツのß(ベータ)文字を含むエンティティ名の検索が一部の機能で失敗する

- 6.4.12 特殊文字のアスタリスク(*)がサポートされていない

- 6.4.13 翻訳済エラー・メッセージがUIに表示されない

- 6.4.14 「リコンシリエーション・イベント詳細」ページのリコンシリエーション表のデータ文字列がハードコードされている

- 6.4.15 翻訳されたパスワード・ポリシー文字列が背景ペインの範囲からはみ出す場合がある

- 6.4.16 双方向言語で日付書式検証エラーが発生する

- 6.4.17 「ジョブの作成」ページの誤訳

- 6.4.18 パスワードの有効期限の電子メール通知をアラビア語設定で作成できない

- 6.4.19 アクセス・ポリシー・ベースのリソース・プロビジョニング・リクエスト詳細に翻訳された理由が表示されない

- 6.4.20 フランス語のUIのGTCリコンシリエーション・マッピング・ページに追加の一重引用符が表示される

- 6.4.21 サーバーのロケールが簡体字中国語、繁体字中国語、日本語または韓国語に設定されている場合、Design Consoleのパスワードを入力できない

- 6.4.22 Nexawebページで双方向テキストがサポートされない

- 6.4.23 英語以外のロケールでOracle Identity Managerに事前定義されたシステム・プロパティは変更しない

- 6.4.24 翻訳されたシステム・プロパティ名の文字列がPTY_NAME列で許可された最大の長さを超えるとエラーが発生する

- 6.4.25 ユーザー・ログインに特殊文字が含まれる場合、パスワード通知が送信されない

- 6.4.26 ユーザー・ログインに小文字の特殊文字が含まれる場合、パスワードのリセットが失敗する

- 6.4.27 電子メール通知が優先ロケールに従って送信されない

- 6.4.28 非英語ブラウザでヘルプ・コンテンツが英語で表示される

- 6.5 ドキュメントの訂正箇所

7 Oracle Internet Directory

- 7.1 一般的な問題および回避策

- 7.1.1 クローニングしたOracle Internet Directoryインスタンスの失敗または低速実行

- 7.1.2 Oracle Internet DirectoryがISMを使用するSolaris SPARCシステム上で起動できない

- 7.1.3 Enterprise Managerを使用するとカスタム監査ポリシー設定が失敗する

- 7.1.4 objectClassが参照する必須のattributeTypesの削除が成功する

- 7.1.5 Oracle Unified Directory 11.1.2.0 orclguid属性がサーバー・チェーンにマップされない

- 7.1.6 Internet Explorer 11ではODSMのオンライン・ヘルプが正しく表示されない

- 7.1.7 ODSMブラウザ・ウィンドウが使用できなくなる

- 7.1.8 Bulkmodifyでエラーが生成される

- 7.1.9 トルコ文字の点付きのIが正しく処理されない

- 7.1.10 OIDCMPRECによって操作属性が変更される可能性がある

- 7.1.11 OIDREALMではレルムの削除がサポートされていない

- 7.1.12 Oracle Database 11.2.0.1.0にパッチを適用してパージ・ジョブの問題を修正する

- 7.1.13 OPSS ldapsearchのSQLで%CPUが高くなる可能性がある

- 7.1.14 コマンドラインを使用してレプリケーション・サーバーを起動する場合はコマンドラインを使用して停止する

- 7.1.15 Internet Explorer 7でのODSMの問題

- 7.2 構成の問題および回避策

- 7.2.1 Oracle Internet Directoryをテストから本番へ移動した後でウォレットを再作成する

- 7.3 ドキュメントの訂正箇所

- 7.3.1 Oracle Internet Directory VMテンプレートを使用できない

- 7.3.2 orclrevpwd属性の記述に説明が必要

- 7.3.3 LDAPコマンドでは-k|-Kオプションはサポートされていない

- 7.3.4 orclOIDSCExtGroupContainer属性の記述に説明が必要

- 7.3.5 LDAPレプリケーションの設定に説明が必要

- 7.3.6 パスワードの有効期限切れレスポンス制御の説明がない

- 7.3.7 ODSM統合用SSOサーバーの構成に説明が必要

- 7.3.8 Oracle Internet Directoryの期限切れユーザーの判別

- 7.3.9 新しいスーパーユーザー・アカウントはDirectoryAdminGroupグループのダイレクト・メンバーである必要がある

- 7.3.10 SSL認証モード1および匿名SSL暗号に説明が必要

- 7.3.11 レプリケーション・サーバー制御およびフェイルオーバーのドキュメントが不完全

- 7.3.12 暗号化属性の追加後のサーバー再起動の説明がない

- 7.3.13 RCUとともに使用する場合はPASSWORD_VERIFY_FUNCTIONをNULLに設定する必要があることが説明されていない

- 7.3.14 Oracle Internet Directory SSL相互認証の設定

- 7.3.15 アイデンティティ管理のチュートリアルのレプリケーションの指示が不完全

8 Oracle Platform Security Services

- 8.1 構成の問題および回避策

- 8.1.1 Oracle Fusion Middleware監査フレームワーク

- 8.1.1.1 Oracle Access Managerの監査の構成

- 8.1.1.2 特定のロケールで監査レポートに翻訳されたテキストが表示されない

- 8.1.1.3 監査レポートが常に英語で表示される

- 8.1.1.4 監査ストアはEMによる再関連付けをサポートしない

- 8.1.1.5 OWSM監査イベントが監査されない

- 8.1.2 ブートストラップ・キーの末尾の\n文字

- 8.1.3 複数のアイデンティティ・ストアでユーザーの名前が同じである

- 8.1.4 スクリプトlistAppRolesが出力する文字が正しくない

- 8.1.5 HTTPプロトコルを介したアイデンティティの伝播

- 8.1.5.1 HTTPプロトコルを介したIDの伝播に関する項への追加

- 8.1.5.2 クライアント・アプリケーションのコード・サンプルに関する項への修正

- 8.1.5.3 キーストア・サービス構成に関する項への修正

- 8.1.5.4 トラスト・サービス構成パラメータの更新

- 8.1.6 プール構成がアイデンティティ・ストア内に存在しない

- 8.2 ドキュメントの訂正箇所

- 8.2.1 ロール・カテゴリの更新された構成

- 8.2.2 setAuditRepositoryコマンド・リファレンスの例の修正

- 8.2.3 Demo CA証明書は本番で使用できない

- 8.2.4 ILMコンテンツへのリンクの誤り

- 8.2.5 付録Cの表タイトルの誤り

- 8.2.6 付録Cの注意の概要

- 8.2.7 サーバーの再起動の必要性に関する注意事項

9 Oracle Fusion MiddlewareでのSSL構成

- 9.1 一般的な問題および回避策

- 9.1.1 ウォレットのインポート時の間違ったメッセージまたはエラー

10 Oracle Directory Integration Platform

- 10.1 一般的な問題と対処方法

- 10.1.1 Oracle WebLogic Server上でドメイン全体の管理ポートを有効にするとDIPコマンドライン・インタフェースを使用できなくなる

- 10.1.2 ディレクトリ同期中にAttrMappingルールdnconvert()関数が機能しない

- 10.1.3 Oracle Password Filter for Microsoft Active Directoryは、Oracle Unified DirectoryまたはOracle Directory Server Enterprise Editionとともに使用することに関して動作保証されていない

- 10.1.4 LDIFファイルにネイティブ・エンコーディングがある場合は、非ASCII文字を含むLDIFファイルによってtestProfileコマンド・オプションが失敗する可能性がある

- 10.1.5 高負荷のソース・ディレクトリでの競合状態によって一部の変更が同期されない

- 10.1.6 Oracle Directory Integration Platformの停止後に同期が続行する

- 10.1.7 Windowsでファイル・パス・セパレータをエスケープする必要がある

- 10.1.8 JDK 1.6 u 21では、特定の問合せとプロビジョニング・プロファイル機能が失敗する可能性がある

- 10.2 構成の問題および回避策

- 10.2.1 Novell eDirectoryのマッピング・ルールの更新

- 10.2.2 Oracle Directory Integration Platformの構成時、Oracle Internet Directoryホスト名としてlocalhostを使用しない

- 10.2.3 Oracle Unified Directoryに対してdipConfiguratorを実行した後にDirectory Integration Platformの再起動が必要な場合がある

- 10.2.4 プロファイルの構成時、マッピング・ルールを表示するのに空白のセクションを越してスクロールすることが必要な場合がある

- 10.2.5 複数のIDMドメインが同じホスト上で実行される場合、リソース使用量グラフが表示されない

- 10.3 ドキュメントの訂正箇所

11 Oracle Virtual Directory

- 11.1 一般的な問題および回避策

- 11.1.1 Enterprise ManagerでリスナーのSSL構成にサポートされていない暗号スイートが選択されているとOracle Virtual Directoryが開始できない

- 11.1.2 EUSアダプタの作成に失敗

- 11.1.3 Sybase用DBアダプタの作成時に手動でadapters.os_xmlファイルを編集

- 11.1.4 ODSMへのパッチ適用後、Enterprise ManagerでODSMのバージョンが11.1.1.6.0に変更されない

- 11.1.5 ODSMバグによりodsmSkin.cssファイルの編集が必要

- 11.1.6 Oracle Directory Services Managerブラウザ・ウィンドウが使用できない

- 11.1.7 複数のOracle Virtual Directoryコンポーネントを管理していてその1つを停止すると、Oracle Directory Services Managerで例外が起きる場合がある

- 11.1.8 アクセス制御ポイントに関連付けられているDNのOracle Directory Services Managerでの識別

- 11.1.9 Fusion Middleware ControlのOracle Virtual Directoryのメトリックの問題

- 11.1.9.1 11gリリース1(11.1.1)へのアップグレード後、Fusion Middleware Controlでパフォーマンス・メトリックのレポートが可能なように操作固有のプラグインを構成

- 11.1.10 TimesTenデータベースに対してLDAPSEARCHを実行する際にワイルドカードを使用すると操作エラーが発生する

- 11.1.11 ODSMバージョン11.1.1.4.0がOVDバージョン11.1.1.2.0または11.1.1.3.0をサポートしていない

- 11.1.12 ODSMバージョン11.1.1.5.0がOVDバージョン11.1.1.2.0、11.1.1.3.0または11.1.1.4.0をサポートしていない

- 11.1.13 ODSMバージョン11.1.1.6.0がOVDバージョン11.1.1.2.0、11.1.1.3.0、11.1.1.4.0または11.1.1.5.0をサポートしていない

- 11.1.14 JDK6を使用するWindowsプラットフォーム上のIPv6スタックに関するOracle Virtual Directoryの問題

- 11.1.15 SSOとともにODSMを使用する際にASCII以外の名前を持つユーザーで問題が発生する可能性がある

- 11.1.16 属性/オブジェクト・クラスを作成するとNPEエラーが発生する

- 11.1.17 アカウント・ロックアウト機能を有効化するために必要なパッチ

- 11.1.18 Internet Explorer 7でのODSMの問題

- 11.1.19 EUSウィザードでのユーザー・アカウントのロックアウトを有効にする新しい機能に関連する文字列がローカライズされない

- 11.1.20 ODSM 11.1.1.1.0で作成されたすべての接続はOVDまたはOIDバージョン11.1.1.7.0へのアップグレード後に失われる

- 11.1.21 OVDのアップグレード後に間違ったODSMバージョンがEnterprise Managerコンソールに表示される

- 11.1.22 WindowsでOracle Virtual Directoryバージョン11.1.1.6.0および11.1.1.7.0の起動に失敗する

- 11.1.23 OVDへの接続の問題

- 11.1.24 ODSMバージョン11.1.1.70がOVDバージョン11.1.1.2.0、11.1.1.3.0、11.1.1.4.0、11.1.1.5.0または11.1.1.6.0をサポートしていない

- 11.1.25 必須属性をNullに更新すると変更が完了する

- 11.1.26 オンライン・ヘルプ・セクションが動作しない

- 11.2 構成の問題および回避方法

- 11.2.1 SSL相互認証用のOVD/OIDアダプタの構成

- 11.3 ドキュメントの訂正箇所

- 11.3.1 Oracle Virtual Directoryを使用したOracle Unified Directoryのデプロイ

はじめに

この章の内容は次のとおりです。

- 対象読者

- ドキュメントのアクセシビリティについて

- 関連ドキュメント

- 表記規則

対象読者

このマニュアルは、Oracle Fusion Middleware 11gのユーザーを対象としています。

ドキュメントのアクセシビリティについて

Oracleのアクセシビリティについての詳細情報は、Oracle Accessibility ProgramのWebサイト(http://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc)を参照してください。

Oracle Supportへのアクセス

Oracleサポート・サービスでは、My Oracle Supportを通して電子支援サービスを提供しています。詳細情報は(http://www.oracle.com/pls/topic/lookup?ctx=acc&id=info) か、聴覚に障害のあるお客様は (http://www.oracle.com/pls/topic/lookup?ctx=acc&id=trs)を参照してください。

関連ドキュメント

詳細は、次のOracleドキュメントを参照してください。

- Start Here CD-ROMにあるOracle Fusion Middlewareのドキュメント

- Oracle Fusion Middlewareドキュメント・ライブラリ 11gリリース1 (11.1.1)

- http://www.oracle.com/technetwork/index.htmlにあるOracle Technology Network

表記規則

このマニュアルでは次の表記規則を使用します。

規則

意味

太字

太字は、操作に関連するGraphical User Interface要素、または本文中で定義されている用語および用語集に記載されている用語を示します。

イタリック体

イタリックは、ユーザーが特定の値を指定するプレースホルダ変数を示します。

固定幅フォント

固定幅フォントは、段落内のコマンド、URL、サンプル内のコード、画面に表示されるテキスト、または入力するテキストを示します。

1 概要

この章では、Oracle Fusion Middleware Identity Managementリリース・ノート、11gリリース1 (11.1.1)の概要を説明します。次の項目が含まれます。

- 1.1項「最新リリース情報」

- 1.2項「このマニュアルの目的」

- 1.3項「システム要件と仕様」

- 1.4項「動作保証情報」

- 1.5項「必要なパッチのダウンロードおよび適用」

- 1.6項「ライセンス情報」

1.1 最新リリース情報

このマニュアルの内容は、発行時点における正確な情報です。オラクル社では、ソフトウェアのリリース後、リリース・ノートを定期的に更新します。リリース・ノートの最新情報および追加情報には、次のURLにあるOracle Technology Networkからアクセスできます。

http://www.oracle.com/technetwork/indexes/documentation/index.html

1.2 このマニュアルの目的

このマニュアルには、Oracle Fusion Middleware 11gリリース1 (11.1.1)のリリース情報が含まれています。このマニュアルでは、Oracle Fusion Middlewareに実際に搭載されている機能とマニュアルに記載されている機能との相違点について説明します。

製品をインストールまたは使用する前に、このマニュアルの内容を確認することをお薦めします。

1.3 システム要件と仕様

Oracle Fusion Middlewareのインストールおよび構成を正常に完了するには、インストール前にハードウェアおよびソフトウェアの前提条件の要件を満たす必要があります。

詳細は、『Oracle Fusion Middlewareインストレーション・プランニング・ガイド』のシステム要件と仕様の確認に関する項を参照してください。

1.4 動作保証情報

この項の内容は次のとおりです。

- 1.4.1項「Oracle Fusion Middlewareの動作保証情報の場所」

- 1.4.2項「動作保証の例外」

- 1.4.3項「Sun JDK 1.6.0_07から1.6.0_11へのアップグレード」

- 1.4.4項「JMSDELIVERYCOUNTが正しく設定されない」

- 1.4.5項「Safari 4でRAW XMLソースを表示するためにビューア・プラグインが必要である」

1.4.1 Oracle Fusion Middlewareの動作保証情報の場所

Oracle Fusion Middleware 11gリリース1 (11.1.1)の最新の動作保証情報は、次のURLにある「Oracle Fusion Middleware Supported System Configurations」セントラル・ハブで確認できます。

http://www.oracle.com/technetwork/middleware/ias/downloads/fusion-certification-100350.html

1.4.2 動作保証の例外

この項では、Oracle Fusion Middleware 11gの動作保証に関する既知の問題(例外)とその回避策について説明します。Oracle Fusion Middleware 11gリリース1 (11.1.1)の特定のコンポーネントに関する既知の問題のリストは、その特定のコンポーネントに対応するリリース・ノートを参照してください。

この章の内容は次のとおりです。

- 1.4.2.1項「Oracle Database 11.2.0.1でのOracle Fusion Middleware 11g R1の動作保証情報」

- 1.4.2.2項「Windows VistaクライアントでのExcelエクスポートの問題」

- 1.4.2.3項「Windows VistaとWindows XPでのOracle FormsおよびOracle Reports 11gのインストーラの問題」

- 1.4.2.4項「特定のブラウザでの制限事項」

1.4.2.1 Oracle Database 11.2.0.1でのOracle Fusion Middleware 11g R1の動作保証情報

Oracle Internet DirectoryをDatabase Vaultと組み合せて構成する場合、次の手順を実行します。

1. パッチ8897382を適用してOracle Bug#8897382を修正します。

注意:

次の回避策は、Oracle Fusion Middlewareのリリース番号が11.1.1.1.0 (11gR1)の場合にのみ使用する必要があります。この問題は、11.1.1.2.0で修正される予定です。

2. <OH>/ldap/datasecurity/dbv_oid_command_rules.sqlファイルを編集してOracle Bug#8987186に回避策を適用するため、次の宣言を見つけます。

/declare
begin
dvsys.dbms_macadm.CREATE_COMMAND_RULE(
command => 'CONNECT'
,rule_set_name => 'OID App Access'
,object_owner => 'ODS'
,object_name => '%'
,enabled => 'Y');
commit;
end;/

次の太字で示されている行を変更します。

/declare
begin
dvsys.dbms_macadm.CREATE_COMMAND_RULE(
command => 'CONNECT'
,rule_set_name => 'OID App Access'
,object_owner => '%'
,object_name => '%'
,enabled => 'Y');
commit;
end;/

1.4.2.2 Windows VistaクライアントでのExcelエクスポートの問題

Vistaでは、ユーザー・アカウント制御(UAC)システムが有効な場合、アプレットでローカル・ファイルシステムにファイルを作成できません。この問題は、UAC設定がVistaで有効化されており、Discoverer Plusなどのコンポーネントを使用している場合に発生することがあります。Discoverer Plusを起動して指定したディレクトリにワークシートをエクスポートすると、エクスポート操作は成功しますが、エクスポートしたファイルはディレクトリに存在しません。この問題を回避するには、UACを無効化して保護モードをOFFに設定します。詳細は、Oracle Bug#8410655および7328867を参照してください。

1.4.2.3 Windows VistaとWindows XPでのOracle FormsおよびOracle Reports 11gのインストーラの問題

設計時環境(Builder)のみがWindows VistaおよびWindows XPでのOracle FormsおよびOracle Reportsでサポートされます。しかし、Oracle Installerの「コンポーネントの構成」画面で、「サーバー・コンポーネント」、管理コンポーネントおよび「システム・コンポーネント」はデフォルトで選択されますが、「開発者ツール」は選択されません。Oracle Forms BuilderまたはOracle Reports BuilderをWindows VistaおよびWindows XPコンピュータにインストールする場合、次のことを行う必要があります。

- Oracle Forms BuilderやOracle Reports Builderなどの開発者ツールを選択します。それぞれに対応する各サーバー・コンポーネントは自動的に選択されます。

- システム・コンポーネントおよび管理コンポーネントをすべて選択解除します。

- PortalおよびDiscovererツールを選択解除します。インストーラの「コンポーネントの構成」画面で「Discoverer」を選択しなくても、2つのDiscovererコンポーネント(Discoverer AdminおよびDiscoverer Desktop)はインストールされます。これは、リリース11.1.1.1.0での正常な動作です。

Oracle Formsでは、Windows VistaとWindows XPでOracle HTTP Serverなどのシステム・コンポーネントがサポートされないため、次の機能は使用できません。

1. Oracle FormsおよびReportsの統合。

2. 仮想ディレクトリの作成。

1.4.2.4 特定のブラウザでの制限事項

1.4.2.4.1 Oracle WebCenterでポートレットを追加するとInternet Explorerブラウザが空白になる問題

Internet Explorerを使用してOracle WebCenterにポートレットを追加すると、ページが空白になることがあります。ページが空白になると、ブラウザのステータス・バーにダウンロード・メッセージが表示されます。ただし、何もダウンロードされず、ブラウザは「戻る」ボタンをクリックするまで空白のままです。この問題が発生すると、ポートレットはブラウザの「戻る」ボタンをクリックした場合にのみ表示されます。この問題は、Firefoxでは発生しません。

この問題を回避するには、ブラウザの「戻る」ボタンをクリックします。

1.4.2.4.2 Internet Explorer 7でJSPXページの出力が表示されない問題

JSPXページをデプロイし、Internet Explorer 7 (IE7)を使用してアクセスすると、ページ・コンテンツのかわりにXHTMLソースが表示されます。この問題は、normalモードとosjp.nextモードの両方で発生します。

この問題を回避するには、FirefoxまたはSafariを使用してアプリケーションにアクセスするようアプリケーション・ユーザーに指示します。

1.4.2.4.3 Internet Explorer 7でSVGファイルの出力が表示されない問題

Scalar Vector Graphicsを使用してページをデプロイし、Internet Explorer 7 (IE7)を使用してアクセスすると、ページのグラフィック・コンテンツのかわりにソースが表示されます。この問題は、normalモードとosjp.nextモードの両方で発生します。

この問題を回避するには、アプリケーション開発者が、各自のアプリケーションにおいてIE7でネイティブにサポートされないSVGグラフィックの使用を避ける必要があります。使用する場合は、次のような警告を追加してください。

All current browsers, with the exception of Internet Explorer, support SVG files. Internet Explorer requires a plug-in to display SVG files. The plug-ins are available for free, for example, the Adobe SVG Viewer at http://www.adobe.com/svg/viewer/install/.

1.4.2.4.4 Discoverer PlusのJavaプラグインがFirefoxに自動的にダウンロードされない問題

Java 1.6のインストールされていないコンピュータ上のMozilla Firefoxブラウザを使用してDiscoverer Plusに接続しようとした場合、FirefoxではJRE 1.6プラグインが自動的にダウンロードされません。かわりに、Firefoxには、「このページをすべて表示するにはプラグインを追加する必要があります」というメッセージが表示されます。

この問題を回避するには、「プラグインを追加」リンクをクリックしてJRE 1.6プラグインをダウンロードし、手動でインストールします。

1.4.3 Sun JDK 1.6.0_07から1.6.0_11へのアップグレード

詳細は、2.1.6.3項「Oracleホーム・ディレクトリでのSun JDKのアップグレード」を参照してください。このリンクは壊れています。ビルドが成功するように非アクティブにしました。

1.4.4 JMSDELIVERYCOUNTが正しく設定されない

Oracle Database 11.2.0.1とともにAQ JMSを使用する場合、JMXDELIVERYCOUNTが正しく設定されません。

これを回避するには、パッチ9932143をOracle Database 11.2.0.1に適用します。詳細は、Oracleサポートに連絡してください。

1.4.5 Safari 4でRAW XMLソースを表示するためにビューア・プラグインが必要である

RAW XMLを表示するには、Safariプラグインが必要です。プラグインがインストールされていない場合、読取りが困難な未フォーマットのXMLが表示されます。これは、Safariによってデフォルト・スタイルシートが適用されるためです。これにより、XMLドキュメントにはテキスト・ノードのみが表示されます。

回避策として、Safariメニュー・バーで「View」→「View Source」に移動し、メタデータ・ドキュメントの完全なXMLを表示します。また、「File」→「Save」を選択し、ファイル・タイプとして「XML Files」を選択すると、すべてのマークアップが完全な状態でXMLメタデータ・ファイルが正しく保存されます。

1.5 必要なパッチのダウンロードおよび適用

Oracle Fusion Middleware 11gリリース1 (11.1.1.4.0)をインストールおよび構成した後、特定の既知の問題に対応するために追加パッチが必要な場合があります。

次の手順を実行して、パッチを取得します。

1. My Oracle SupportのWebサイト(https://myoraclesupport.com/)にログインします。

2. 「パッチと更新版」タブをクリックします。

3. 「パッチ検索」領域を使用してパッチを検索します。

4. 「パッチ検索結果」ページで、パッチを選択し、「ダウンロード」をクリックしてパッチをダウンロードします。

5. パッチに含まれるREADMEファイルの手順に従って、パッチをインストールします。

表1-1は、これらのリリース・ノートが公開されたときに使用可能だった特定のOracle Fusion Middlewareパッチの一部を示しています。

詳細は、3.1.1項「特定のアップグレードおよび互換性の要件に対処するためのパッチ」を参照してください。このリンクは壊れています。ビルドが成功するように非アクティブにしました。

表1-1 Oracle Fusion Middleware 11gの特定の問題の修正に必要なパッチ

Oracle Fusion Middleware製品またはコンポーネント

バグ/パッチ番号

説明

Oracle SOA Suite - Oracle BPM Worklistアプリケーション

9901600

このパッチを適用しないかぎり、Oracle Business Process Management Worklistアプリケーションの「イベントドリブン」ページにアクセスしたときに、ログ・ファイルにエラーが表示されます。

Oracle XDK for Java

10337609

このパッチは、次の問題を修正します。

XSUユーティリティを使用してデータをデータベースに挿入するときに、データベース接続でoracle.jdbc.J2EE13Compliantと呼ばれる接続プロパティがtrueに設定されており、ターゲット列がある種の数値列である場合、挿入が失敗し、次のエラーが表示される可能性があります。

java.lang.NumberFormatException

1.6 ライセンス情報

Oracle Fusion Middlewareのライセンス情報は、次の場所で入手可能です:

http://oraclestore.oracle.com

Oracle Fusion Middlewareのライセンス準拠に関する詳細情報は、次のURLで入手可能です。

http://www.oracle.com/technetwork/middleware/ias/overview/index.html

2 Oracle Adaptive Access Manager

この章では、Oracle Adaptive Access Managerに関連する問題について説明します。次の項目が含まれます。

- 一般的な問題点と回避策

- ポリシー管理の問題および回避策

- トランザクションの問題および回避策

- ナレッジベース認証の問題および回避策

- 統合の問題および回避策

- レポートの問題および回避策

- 構成の問題および回避策

- カスタマ・ケアの問題および回避策

- パフォーマンスの問題と回避策

- デバイスのフィンガープリント処理の問題および回避策

- 地理的位置データ・ローダーの問題および回避策

- 多言語サポートの問題および回避策

2.1 一般的な問題と回避策

この項では、一般的な問題について説明します。次の項目が含まれます。

- ヘッダーのIPアドレスが無効な場合、OAAMセッションが記録されない

- セッション内のチェックポイント・ボックスが同じタイムスタンプで表示される

- 自動生成されたエージェント・ケースでユーザー固有データが表示される

2.1.1 ヘッダーのIPアドレスが無効な場合、OAAMセッションが記録されない

一部のヘッダーベースのIPアドレスについて、OAAMセッションは記録されていません。

デフォルトでは、ヘッダー・ベースのIPアドレスは受け入れられません。ヘッダーからのIPアドレスの読取りを有効にするには、vcrypt.tracker.ip.detectProxiedIPをtrueに設定します。ヘッダーのIPアドレスを使用可能にする場合、有効なIPアドレスのみを使用します。ヘッダーに無効なIPアドレスが含まれると、実際のリクエストIPアドレスが使用されます。

2.1.2 セッション内のチェックポイント・ボックスが同じタイムスタンプで表示される

同じセッションで複数のトランザクションがトリガーされると、「セッション詳細」ページの「チェックポイント」ボックスには同じタイムスタンプが表示されます。このバグはOAAMオンラインでは修正されています。

2.1.3 自動生成されたエージェント・ケースでユーザー固有データが表示される

OAAMエージェント・ケースが構成可能なアクションから自動生成される場合、「ユーザー詳細」ペインには、ケースが作成されたセッションのユーザーの詳細が移入されます。自動生成されたエージェント・ケースには、ユーザー固有データを含めないようにする必要があります。エスカレーション済エージェント・ケースが単一のエンド・ユーザーのみに固有のケースであるので、それでのみユーザーの詳細を表示する必要があります。

2.2 ポリシー管理の問題および回避策

この項では、ポリシー管理の問題および回避策について説明します。次の項目が含まれます。

- 2つのエンティティ・インスタンスの対応する属性でルール条件「フィルタ条件を使用した現在のトランザクションの確認」を構成できない

- 連続トランザクションをチェックするルール条件がエンティティ・チェックに失敗する

- ユーザーおよびデバイス速度ルール条件の「IPリストの除外」パラメータ

- OAAMオフラインでは最後に実行されたルールのみが表示され前のルールは上書きされる

- 「ユーザー: 初回ログイン時間の確認」ルール条件が常にトリガーされる

2.2.1 2つのエンティティ・インスタンスの対応する属性でルール条件「フィルタ条件を使用した現在のトランザクションの確認」を構成できない

エンティティの2つのインスタンスがOAAMトランザクションに関連付けられており、フィルタ条件が一方のエンティティ・インスタンスと他方のエンティティ・インスタンスの属性を比較するように設計されている場合、OAAM管理コンソールでは同じ属性間の比較の構成のみが可能で、異なる属性間の比較はできません。

次に例を示します。

Addressエンティティの2つのインスタンスがトランザクションに関連付けられており、一方のインスタンス名はBillingAddrで、もう一方のインスタンス名はShippingAddrです。ユーザーがBilling.line1とShippingAddr.line1を比較するように「フィルタ条件を使用した現在のトランザクションの確認」を構成した場合、ルールを保存した後、OAAM管理コンソールでは常にユーザーが比較する必要がある属性のロックダウンおよびユーザーが比較している属性のドロップダウンにインスタンス「--- line1 of BillingAddr」が表示されます。

2.2.2 連続トランザクションをチェックするルール条件がエンティティ・チェックに失敗する

ルール条件「トランザクション: 特定期間中の連続トランザクションがフィルタ条件を満たすかどうかの確認」はトリガーしません。この条件はFalseを返し、エンティティ・チェックはデバッグ・ログに例外を出力して失敗します。

2.2.3 ユーザーおよびデバイス速度ルール条件の「IPリストの除外」パラメータ

「IPリストの除外」パラメータが次の条件に追加されています。

- デバイス: 最後のログインからの速度

- ユーザー: 最後のログインからの速度

このパラメータを使用して、無視するIPアドレスのリストを指定できます。ユーザーのIPアドレスがそのリストにある場合、この条件は常にfalseに評価されアクションやアラートはトリガーされません。ユーザーのIPアドレスがこのリストに含まれないか、リストがnullまたはemptyである場合、条件は、最後のログインからのユーザーまたはデバイスの速度を評価します。最後のログインからのユーザーまたはデバイスの速度がルールで構成された値より大きい場合、条件はtrueに評価され、この条件はトリガーされます。

2.2.4 OAAMオフラインでは最後に実行されたルールのみが表示され前のルールは上書きされる

同じセッション内に複数のトランザクションが実行されている場合、最後のトランザクションでトリガーされたルールのみがOAAMオフラインで表示されます。前のトランザクションからのルールは上書きされます。このバグを修正するには、パッチを適用し、データベース・スキーマを更新する必要があります。

2.2.5 「ユーザー: 初回ログイン時間の確認」ルール条件が常にトリガーされる

「ユーザー: 初回ログイン時間の確認」条件は、ユーザーがログインした時間にかかわらず同じ値を返していました。

2.3 トランザクションの問題および回避策

この項では、OAAMトランザクションの問題について説明します。次の項目が含まれます。

- OAAMでは最後に実行されたルールのみが表示され前のルールは上書きされる

- OAAMは「セッション詳細」に25のトランザクションのみを表示する

- 25トランザクションより多くのアラートは表示されない

- OAAMトランザクションは16桁を超える数値パラメータで作成できない

- 「セッション詳細」で25より後のトランザクションが重複する

- トランザクションIDとアラートとの関連付けが機能しない

- OAAMコンソールにトランザクション・ステータスが表示されない

- トランザクション・マッピングのサブストリングの最初の文字の値でエラー

- エンティティ・データの変更がなくてもエンティティの更新時刻が更新される

2.3.1 OAAMでは最後に実行されたルールのみが表示され前のルールは上書きされる

複数のトランザクションが同じセッション内でトリガーされ、これにより複数のアラートおよびポリシーの実行が発生する場合、OAAMではトリガーされた最新のアラートおよびポリシーのみが表示され、前のトランザクションからのアラートおよびポリシーは上書きされます。

2.3.2 OAAMは「セッション詳細」に25のトランザクションのみを表示する

トランザクションで構成されたデータ要素が25を超える場合、「セッション詳細」には最初の25項目のトランザクションの詳細のみが表示されます。このページにはスクロール・バーはありません。

2.3.3 25トランザクションより多くのアラートは表示されない

25番目を超えるトランザクションはアラートが表示されません。アラートを含むチェックポイント・ボックスが25より多い場合、そのデータはデータベースにあるにもかかわらず、「セッション詳細」には表示されません。

2.3.4 OAAMトランザクションは16桁を超える数値パラメータで作成できない

ユーザーがトランザクション・フィールドに16桁を超える数値を定義している場合、トランザクションの作成は「ORA-01438: この列に許可されている指定の精度より大きな値です」というサーバー上のエラーが出力されて失敗します。

2.3.5 「セッション詳細」で25より後のトランザクションが重複する

「セッション詳細」の「セッション・トランザクション」セクションにリストされているトランザクションは、セッション内の25トランザクションの後で重複します。

2.3.6 トランザクションIDとアラートとの関連付けが機能しない

processRules APIでtransactionIdを渡した後でも、トランザクションIDとアラートとの関連付けは機能しません。このバグは、サーバー側では修正されています。

2.3.7 OAAMコンソールにトランザクション・ステータスが表示されない

トランザクション・ステータスは「トランザクション詳細」ページに表示されて、トランザクションを試行したが完了しなかったかどうかを不正チームがわかるようにする必要があります。これにより、顧客と不正行為者の両方の動作に関する情報を取得したり、ルールが機能しているか確認することもできます。トランザクション・ステータスを識別できないと、Fraudチームは職務を効率的に遂行できるという確信が持てません。この回避策は、「セッション・トランザクション」パネルで各トランザクションのステータス値を、「名前」、「トランザクションID」、「説明」および「タイムスタンプ」とともに表示することです。表示される値は、プロパティtracker.transaction.status.enum (たとえば、1=Success、99=Pendingなど)からマップされます。

2.3.8 トランザクション・マッピングのサブストリングの最初の文字の値でエラー

ユーザーがSubStringタイプのトランザクション・マッピングを実行すると、その値の最初の文字がマッピングの結果から欠落します。これは、oaam.transaction.mapping.startindex.minプロパティが1に設定されているためです。このプロパティを1に設定すると、文字列の2番目の文字からサブストリング操作が開始されます。サブストリング操作が文字列の最初の文字から開始されるように、このプロパティは0に割り当てられるように修正されています。

2.3.9 エンティティ・データの変更がなくてもエンティティの更新時刻が更新される

トランザクションでトランザクション定義にマップされているエンティティを使用すると、エンティティ・データに変更がなくても、OAAMサーバーによりエンティティの更新時刻が更新されます(他のフィールドは更新されません)。これが発生するとデータベースのパフォーマンスに影響します。

2.4 ナレッジベース認証の問題および回避策

この項では、ナレッジベース認証の問題について説明します。次の項目が含まれます。

- 「登録ロジック」ページにKBAロジックが表示されない

- 回答ロジックの略語のリソースが使用されない

- FFIECコンプライアンスに応じたKBAの更新

- イメージおよびセキュリティ・フレーズの登録ページでブラウザを閉じる

- OAAMでパスワードを変更してもパスワード・フィールドに検証内容が表示されない

- KBAの更新時にORA-01722が発生する

- 登録した質問が削除され後続のチャレンジが成功しない

2.4.1 「登録ロジック」ページにKBAロジックが表示されない

「KBA登録ロジック」ページにはKBAロジック(「1メニュー当たりの質問数」、「1メニュー当たりのカテゴリ数」、「ユーザーが登録する質問数」)が表示されません。これは、前の即時利用可能なスナップショットに「KBA登録ロジック」ページのプロパティが含まれていないためです。パッチでこの問題を解決します。この修正を有効にするには、新しい即時利用可能なスナップショット・ファイル(oaam_base_snapshot.zip)をインポートする必要があります。このファイルをインポートすると、サーバー内の既存のコンテンツは上書きされるので注意してください。

スナップショット・ファイルをインポートせずに登録ロジックに関する問題を修正する場合は、次のプロパティを作成できます(次に示すデフォルト値を使用します)。

challenge.question.registration.groups.categories.count=5
challenge.question.registration.groups.count=3
challenge.question.registration.groups.minimum.questions.per.category.count=1
challenge.question.registration.groups.questions.count=5

パッチでは、ユーザーがOTPチャレンジに失敗した際にチャレンジでKBAをフォールバックとして使用するようにポリシー・オーバーライドも修正しています。コンテンツを上書きせず、より新しいポリシーのインポートのみを行う場合、ポリシーのインポートとしてoaam_policies.zipをインポートできます。ポリシーをインポートしても、バグに関連する登録ロジックは修正されません。

2.4.2 回答ロジックの略語のリソースが使用されない

回答ロジックにより、ユーザーが指定した回答が登録時に指定された回答と厳密に一致するかどうかがチェックされます。回答ロジックは略語に依存します。

更新された回答ロジックの略語のリソース・バンドルは、OAAM 11.1.1.5で使用できます。新しいリソース・バンドルでは、次の項目が一致とみなされます。

登録済の回答

指定された回答

Missus

Mrs

Mister

Mr

Sergeant

Sgt

Mrs

Missus

Mr

Mister

Sgt

Sergeant

2.4.3 FFIECコンプライアンスに応じたKBAの更新

前のリリースでの次のKBA質問は、Federal Financial Institutions Examination Council (FFIEC)のコンプライアンスに対応し、kba_questions.zip (英語)ファイルおよびoaam_base_snapshot.zipファイルから削除されました。

子カテゴリ

次の10の質問を削除または非アクティブ化します。

- 一番年上のお子さんの誕生は何年でしたか。

- 一番年上のお子さんの小学校入学は何年でしたか。

- 一番年下のお子さんの小学校入学は何年でしたか。

- 一番年上のお子さんのミドル・ネームは何ですか。

- 一番年下のお子さんは何という名ですか。

- 一番年下のお子さんの誕生は何年でしたか。

- 一番年上のお子さんは何という名ですか。

- 一番年下のお子さんの誕生日はいつですか。

- 一番年下のお子さんのミドル・ネームは何ですか。

- 一番年上のお子さんの誕生日はいつですか。

教育カテゴリ

次の18の質問を削除または非アクティブ化します。

- 高校卒業は何年でしたか。

- 中学校卒業は何年でしたか。

- 高校があったのは何市でしたか。

- 大学のスクール・カラーは何色でしたか。

- 小学校卒業は何年でしたか。

- 大学のマスコットは何でしたか。

- 高校のスクール・カラーは何色でしたか。

- 高校のマスコットは何でしたか。

- 出願したが入学しなかった大学の名前は何ですか。

- 最初の小学校があったのは何市でしたか。

- 高校入学は何年でしたか。

- 中学校入学は何年でしたか。

- 小学校入学は何年でしたか。

- 大学卒業は何年でしたか。

- 大学入学は何年でしたか。

- 大学での専攻は何でしたか。

- 最初に通った学校は何でしたか。

- 大学があったのは何市でしたか。

その他のカテゴリ

次の2つの質問を削除または非アクティブ化します。

- 子供時代に一番親しかった友人は何という名ですか。

- 身長はどれくらいですか。

父母、祖父母、兄弟姉妹カテゴリ

次の17の質問を削除または非アクティブ化します。

- 父親が生まれたのは何年でしたか。

- 父親の誕生日はいつですか。

- 一番年上の兄弟姉妹の愛称は何ですか。

- 父親が生まれたのは何市ですか。

- 母親が生まれたのは何市ですか。

- 両親の現住所の番地は何番ですか。

- 両親の現住所は何町ですか。

- 一番年下の兄弟姉妹の愛称は何ですか。

- 両親の現住所の郵便番号は何番ですか。

- 母親が生まれたのは何年でしたか。

- 両親の電話番号の下4桁は何番ですか。

- 母方の祖母は何という名ですか。

- 父方の祖母は何という名ですか。

- 一番年下の兄弟姉妹は何という名ですか。

- 父方の祖父は何という名ですか。

- 母親の誕生日はいつですか。

- 一番年上の兄弟姉妹は何という名ですか。

重要なその他のカテゴリ

次の18の質問を削除または非アクティブ化します。

- 新婚旅行はどこに行きましたか。

- あなたが結婚したのは何年ですか。

- あなたの大切な人が生まれたのは何年ですか。

- あなたの大切な人の誕生日はいつですか。

- 結婚記念日はいつですか。

- 初めて奥様/ご主人と知り合ったのは何市ですか。

- あなたの大切な人が生まれたのは何市でしたか。

- あなたの大切な人の母親は何という名ですか。

- あなたの大切な人の父親は何という名ですか。

- あなたの大切な人の一番年上の兄弟姉妹は何という姓ですか。

- あなたの大切な人の一番年下の兄弟姉妹は何という名ですか。

- あなたの大切な人はどの高校に通っていましたか。

- あなたの花婿/花嫁付添人は何という姓でしたか。

- あなたの花婿/花嫁付添人は何という名でしたか。

- 結婚披露宴会場の名称。

- 奥様/ご主人を何と呼んでいますか。

- あなたの大切な人が生まれたのは何県でしたか。

- あなたの大切な人の一番年下の兄弟姉妹は何という姓ですか。

スポーツ・カテゴリ

次の4つの質問を削除または非アクティブ化します。

- 好きなスポーツ・チームのマスコットは何ですか。

- 好きなスポーツ・チームのチーム・カラーは何色ですか。

- 好きなスポーツ・チームの最大のライバルはどのチームですか。

- これまでで一番お気に入りのスポーツ・チームはどこですか。

出生カテゴリ

次の9つの質問を削除または非アクティブ化します。

- 育った場所の郵便番号は何番ですか。

- あなたが生まれたとき米国大統領は誰でしたか。

- あなたが生まれたとき父親は何歳でしたか。

- あなたが生まれたとき母親は何歳でしたか。

- あなたが生まれた病院の名前は何ですか。

- 生まれた場所の郵便番号は何番ですか。

- 誕生日に一番近い祝日は何ですか。

- 生まれたのは何県でしたか。

- 生まれたのは何市でしたか。

2.4.4 イメージおよびセキュリティ・フレーズの登録ページでブラウザを閉じる

ユーザーが初めてセキュリティ・イメージおよびフレーズを登録しようとして、その処理中に登録およびユーザー・プリファレンス・ページでブラウザ・ウィンドウを閉じるか、ログイン・ページに戻ると、表示された最後のイメージおよびフレーズが、「続行」ボタンをクリックして明示的に選択していなくても、デフォルトとして受け入れられます。

これは、イメージおよびフレーズの登録で、ユーザーが登録およびユーザー・プリファレンス・ページの「続行」をクリックしないとイメージおよびフレーズが保存されないように修正されました。

2.4.5 OAAMでパスワードを変更してもパスワード・フィールドに検証内容が表示されない

OAAMおよびOIMでは「パスワードの変更」ページの「パスワード」フィールドに検証内容が表示されません。問題点は次のとおりです。

- ユーザーがパスワードを入力せずに「送信」をクリックすると、検証は行われずフィールドは空になります。

- ユーザーが新しいパスワードと確認パスワードを入力すると、それらのパスワードが同じでも異なってもパスワードは受け入れられます。

- ユーザーがパスワードを変更する場合、古いパスワードが正しいかどうか検証されません。

2.4.6 KBAの更新時にORA-01722が発生する

新しいチャレンジ質問を追加するときに、ORA-01722エラーが発生する場合があります。

2.4.7 登録した質問が削除され後続のチャレンジが成功しない

ユーザーの質問セットに削除された質問が含まれる場合、ユーザーの登録済の質問に削除された質問が含まれる場合、KBA登録ロジックがユーザーの登録済の質問および質問セットと整合しない場合(質問/カテゴリの数など)などに、ユーザーが質問セットを更新しようとしたが、そのブラウザ・ウィンドウを取り消したり閉じたとき、または保存せずにセッションがタイムアウトすると、そのユーザーの既存の質問はデータベースから削除されます。既存の質問が削除されているので、後続のチャレンジは成功しません。

この問題は、ユーザーの登録済の質問が質問の再設定の処理時に削除された場合、次のログイン時に新しい質問を再登録するようにユーザーに促すように修正されています。

2.5 統合の問題および回避策

この項では、OAAM統合の問題について説明します。次の項目が含まれます。

- setupOAMTapIntegration.shがoaam.uio.oam.secondary.host.portを設定しない

- OAAMは認証およびパスワード忘れフロー用のJuniperシングル・サインオンをサポートしない

- ステップアップ認証の変更

- TAP: 間違ったエラー・メッセージ

- OAAM 11g SOAPタイムアウト例外処理

- OAAMはパスワード忘れワークフローでUserManager.Unlock()をコールする必要がある

2.5.1 setupOAMTapIntegration.shがoaam.uio.oam.secondary.host.portを設定しない

setupOAMTapIntegration.shスクリプトは、Oracle Access ManagerとOracle Adaptive Access Managerの統合のためにOracle Adaptive Access Managerを構成する間に、セカンダリOAMホスト情報(oaam.uio.oam.secondary.host.port値)を設定しません。回避策として、プロパティ・エディタを使用してプロパティ値を設定します。

2.5.2 OAAMは認証およびパスワード忘れフロー用のJuniperシングル・サインオンをサポートしない

Juniper SSLと統合されている場合、OAAM認証フローは呼び出されません。OAAMを呼び出すことで、統合は認証フローで不正行為を検出してリスクを特定でき、それに応じて、Challenge、Block、その他のアクションなどのOAAM機能を使用してユーザーを強力に認証します。Juniper SSLとOAAMの統合フローは次のようにする必要があります。

1. ユーザーがJuniper SSLで保護されるWebアプリケーションまたはURLにアクセスしようとすると、Juniper SSLはそのユーザーが認証済かどうかを検出します。

2. ユーザーが認証されると、そのWebアプリケーションに進むことができます。

3. 認証されていないと、OAAMサーバーにリダイレクトされます。OAAMサーバーは「ユーザーID」ページを表示し、ユーザーIDを入力するようにユーザーに促します。ユーザーIDが入力されると、OAAMは認証前チェックポイント・ポリシーを評価して、ユーザーをブロックする必要があるかどうかを確認します。

4. 次に、OAAMはユーザーが認証パッドを登録しているかどうかを確認します。ブロックの必要が確認された場合は、登録された認証パッドが表示され、確認されない場合は、汎用テキスト・パッドが表示されます。

5. OAAMサーバーは認証パッドのあるパスワード・ページを表示し、パスワードを入力するようユーザーに促します。パスワードが入力されると、それをユーザー・ストアと照合します(ユーザー・ストアにはLDAP、Active Directoryまたは任意のアクティブなユーザー・ストアが使用できます)。また、デバイス識別プロセスを実行してデバイスの識別も行われます。

6. 資格証明が正しくない場合は、エラー・ページが表示されて、資格証明を再入力するようユーザーに要求します。

7. 資格証明が正しい場合は、認証後チェックポイント・ポリシーが評価されます。ポリシーの結果に基づいて、OAAMはユーザーに対してチャレンジまたはブロックします。

8. 認証後の結果がALLOWの場合は、ユーザーを登録する必要があるかどうかが判別されます。登録のタイプに基づいて、登録ページが順次に表示されます。

9. 認証後の結果がCHALLENGEであり、ユーザーが1つ以上のチャレンジ・メカニズムにすでに登録されている場合、OAAMはユーザーにチャレンジします。ユーザーがチャレンジに回答できると、引き続き次のステップに進めます。次のステップでOAAMはユーザー・ストアからユーザー属性を取得して、SAMLレスポンスを作成し、それに署名して、そのレスポンスをJuniper SSLのリダイレクションURLにポストします。ここでJuniper SSLに制御が移り、SAMLペイロードを検証して、ユーザーにWebアプリケーションへのアクセスを許可します。

10. 認証後の結果がBLOCKの場合は、ユーザーはブロックされ、Webアプリケーションにアクセスできません。

2.5.3 ステップアップ認証の変更

OAAMでセットアップ認証機能を使用できます。セットアップ認証機能を使用すると、下位レベルでOAMに認証されているユーザーが、比較的高い認証レベルで構成されたOAAMTAPSchemeによって保護されたリソースにアクセスできます。ユーザーが高いレベルで構成されている保護されたリソースにアクセスしようとすると、OAAMは保護されたリソースへのアクセスに必要な認証レベルを取得するためにさらにユーザーを認証する方法を決定するポリシーを実行します。ユーザーはすでに認証されているので、通常のログイン・フローには進みません。

TAP統合のセットアップ認証モードを有効化/無効化するプロパティ: デフォルトでは、セットアップ認証モードは有効です。ただし、この機能を無効にする場合、プロパティoaam.uio.oam.integration.stepup.enabledをfalseに設定します。

エンド・ユーザーの動作の変更: Access Manager-OAAM TAP統合を使用するエンド・ユーザーに対する動作の変更は次のとおりです。

ユーザーがすでにAccess Managerで認証されており、このユーザーがTAPパートナとしてOAAMでTAPSchemeの下で保護されるリソースにアクセスしようとする場合、OAAMログイン・フローには進みません(このユーザーはすでに認証されているため)。ただし、OAAMはその不正検出ポリシーを実行し、ポリシーで評価されたリスクに応じてチャレンジ質問をしたりユーザーをブロックします。

2.5.4 TAP: 間違ったエラー・メッセージ

Access Manager-OAAM TAP統合では、無効なユーザー名またはパスワードが指定されると、OAAMにより次のエラーが表示されます。

There was some technical error processing your request.   Please try again

パッチはこの問題を解決しています。エラー・メッセージは、技術的エラーでなく、無効なユーザー名またはパスワード・エラーと示されるようになりました。

2.5.5 OAAM 11g SOAPタイムアウト例外処理

Webサービスをコールするクライアントは、タイムアウトの例外が取得されません。そのためクライアントは、例外がSOAPタイムアウトか別の原因か判断できないため、SOAPタイムアウトを正しく処理できません。タイムアウトの特定のエラー・コードがクライアントに渡されるように、修正が実装されています。そのため、クライアントは例外に含まれる情報ごとにフォルトを処理できます。

メソッドhandleException()ではクラスVCryptSOAPGenericImplが導入され、ビジネス要件に基づいて多くのエラー・コードを含めるようにこれをオーバーライドできます。現在、これはsoaptimeoutエラーで設定されています。

protected String handleException(String requestName, Exception ex, String resultXml) {

2.5.6 OAAMはパスワード忘れワークフローでUserManager.Unlock()をコールする必要がある

Oracle Identity ManagerとAccess Managerの統合においてOAAMによって実行されるパスワードを忘れた場合のフローで、ユーザーがパスワードを変更する際にロック解除されません。OAAMがchangePassword() APIを実行する際、Oracle Identity Managerによってユーザーが自動的にロック解除されることはありません。

パスワードを忘れた場合のフローでOAAMがchangePassword () APIを実行する際に、Oracle Identity Manager側のユーザーのロックを自動的に解除できるようにするには、次の手順が必要です。

1. OAAM管理コンソールにログインします。

2. ナビゲーション・ペインで、「環境」をクリックしてから、「プロパティ」をダブルクリックします。「プロパティ」検索ページが表示されます。

3. oaam.oim.passwordflow.unlockuserをtrueに設定します。
デフォルトでは、このプロパティ値はfalseに設定されます。このプロパティをtrueに設定すると、OAAMはパスワードの変更タスク・フローでOracle Identity Managerのunlock APIをコールします。

2.6 レポートの問題および回避策

この項では、OAAM BI Publisherレポートおよびセッションの問題および回避策について説明します。次の項目が含まれます。

- 「セッションの詳細」ページのアラート・メッセージ・リンクで「アラート詳細」が開かない

- OAAMルール・ブレークダウン・レポートが正しい情報を提供しない

2.6.1 「セッションの詳細」ページのアラート・メッセージ・リンクで「アラート詳細」が開かない

「セッションの詳細」ページのアラート・メッセージ・リンクから「アラート詳細」ページにアクセスしようとしてもページが開きません。

この問題を回避するには、「セッション検索」ページのアラート・メッセージ・リンクを使用します。

2.6.2 OAAMルール・ブレークダウン・レポートが正しい情報を提供しない

BI Publisherルール・ブレークダウン・レポートには、チェックポイントおよびポリシーでトリガーされたルールのサマリーが示されません。示される値は不完全または不正確です。

レポートを機能させるには、次のスクリプトを実行します。

create or replace view OAAM_FIRED_RULES_VIEW as (

select actionMap.create_time, ruleMaps.rule_map_id, actionMap.request_id,

actionMap.runtime_type,

sessions.user_id, sessions.node_id, actionMap.action_list

from (select substr(attr_name, 7) ruleInstanceId, case when

length(trim(translate(attr_value, '+-.0123456789', ' '))) is null then

CAST(attr_value AS NUMBER(16)) else null end rule_map_id, fprint_id from

v_fp_map where attr_name like 'RLD_ID%') ruleMaps

inner join vt_session_action_map actionMap on actionMap.rule_trace_fp_id =

ruleMaps.fprint_id

inner join vcrypt_tracker_usernode_logs sessions on sessions.request_id =

actionMap.request_id

inner join (select substr(attr_name, 11) ruleInstanceId, case when

length(trim(translate(attr_value, '+-.0123456789', ' '))) is null then

CAST(attr_value AS NUMBER(16)) else null end attr_value, fprint_id from

v_fp_map where attr_name like 'RLD_STATUS%') ruleStatus

on ruleStatus.ruleInstanceId = ruleMaps.ruleInstanceId and

ruleStatus.fprint_id = ruleMaps.fprint_id

where ruleStatus.attr_value=1

union select ruleLogs.create_time, ruleLogs.rule_map_id,

policySetLogs.request_id, policySetLogs.runtime_type,

userNodeLogs.user_id, userNodeLogs.node_id, ruleLogs.action_list

from VR_RULE_LOGS ruleLogs

inner join VR_MODEL_LOGS modelLogs on ruleLogs.MODEL_LOG_ID =

modelLogs.MODEL_LOG_ID

inner join VR_POLICY_LOGS policyLogs on modelLogs.POLICY_LOG_ID =

policyLogs.POLICY_LOG_ID

inner join VR_POLICYSET_LOGS policySetLogs on policyLogs.POLICYSET_LOG_ID =

policySetLogs.POLICYSET_LOG_ID

inner join VCRYPT_TRACKER_USERNODE_LOGS userNodeLogs on

policySetLogs.REQUEST_ID = userNodeLogs.REQUEST_ID

where ruleLogs.status=1);

commit;

2.7 構成の問題および回避策

この項では、次の構成の問題とその回避策について説明します。

- インストールにデータベースのアーカイブおよびパージ・スクリプトがない

- CN値が無効でSAMLレスポンスにUID属性がないためJuniperのログインに失敗する

2.7.1 Unbreakable Enterprise Kernel (UEK)に含まれているOracle Linux 6 (OEL6)、Red Hat Compatible Kernelに含まれているOracle Linux 6 (OEL6)およびRed Hat Enterprise Linux 6 (RHEL6)の認証

OAAMは、Unbreakable Enterprise Kernel (UEK)を含むOracle Linux 6 (OEL6)、Red Hat Compatible Kernelを含むOracle Linux 6 (OEL6)、およびRed Hat Enterprise Linux 6 (RHEL6)で動作が保証されています。OAAM 11gはOracle Linux 6上での動作が保証されていますが、Oracle Identity Management (Oracle IdM)のインストール時に、前提条件チェックにおいて警告メッセージが表示されます。このエラーはインストールに影響せず、無視できます。ユーザーは「OK」をクリックしてインストールを続行できます。

Bug 15833450 OAAM 11.1.1.5は、Unbreakable Enterprise Kernel (UEK)を含むOracle Linux 6 (OEL6)、Red Hat Compatible Kernelを含むOracle Linux 6 (OEL6)、およびRed Hat Enterprise Linux 6 (RHEL6)で動作が保証されています。

2.7.2 インストールにデータベースのアーカイブおよびパージ・スクリプトがない

oaam_db_purging_scripts.zipファイルにケースおよび監視データ・パージ・スクリプトがありません。

ケース・データをパージするには、次のスクリプトが含まれる必要があります。

- create_case_purge_proc.sql
Oracleデータベースのアーカイブを設定してルーチンをパージするには、create_case_purge_proc.sqlスクリプトが必要です。

- exec_sp_purge_case_data.sql
ケース・データのアーカイブおよびパージを実行するには、exec_sp_purge_case_data.sqlが必要です。

監視データをパージするには、次のスクリプトが含まれる必要があります。

- drop_monitor_partition.sql
Oracle表パーティション化オプションを使用していてレポーティング・データベースがない場合、監視データのパージ・ルーチンを設定する前に、drop_monitor_partition.sqlスクリプトを実行する必要があります。

- exec_v_monitor_purge_proc.sql
exec_v_monitor_purge_proc.sqlスクリプトは、デバイス・フィンガープリント表からデータをアーカイブおよびパージするストアド・プロシージャをコールします。

- create_v_monitor_purge_proc.sql
create_v_monitor_purge_proc.sqlスクリプトを使用すると、V_MONITOR_DATA_PURGE表およびストアド・プロシージャSP_V_MON_DATA_PURGE_PROCが作成され、トランザクション表のデータをアーカイブおよびパージできるようになります。

2.7.3 CN値が無効でSAMLレスポンスにUID属性がないためJuniperのログインに失敗する

認証に成功した後、OAAMは、ユーザー・ストアからユーザー属性を取得し、SAMLアサーションのユーザー属性をJuniperに送信します。Juniperは、SAMLアサーションから読み取る属性を検索し、そのリポジトリのユーザーと照合するように設計されています。次に、リクエストしたターゲットのページまたはWebアプリケーションにユーザーをログインします。

この不具合では、Juniperがユーザーを識別できないため、ユーザーはOAAMを介してJuniperにログインできません。OAAMは正しいcn (一般名)の値をフェッチしておらず、SAMLレスポンスのuid (ユーザーID)属性を設定していません。

2.8 カスタマ・ケアの問題および回避策

この項では、カスタマ・ケアおよび調査の問題について説明します。次の項目が含まれます。

- InvestigatorロールとCSRロールをユーザーに付与するとInvestigatorロールがCSRロールをオーバーライドする

- 一部のケース管理画面にスクロール・バーがなくなる

- ケース検索およびケース詳細にケース処置が表示されない

- 2人のユーザーが同時にケース・ノートを更新すると追加された最後のノートが間違ったユーザーに帰属する

- 手動で作成されたOAAMエージェントがユーザー名またはユーザーIDで検索できない

- OAAMでケースの所有権の変更およびノート・アクションのクローズしたケースへの追加が許可される

- Create Agent Case構成可能アクションに誤ったアクション名が表示される

- KBAおよびOTPの失敗カウンタのリセットおよびロック解除

2.8.1 InvestigatorロールとCSRロールをユーザーに付与するとInvestigatorロールがCSRロールをオーバーライドする

ユーザーにInvestigatorとCSR Accessロールを付与すると、前者が後者のアクセス権限をオーバーライドし、ユーザーが持つのはInvestigatorアクセス権のみになり、CSRアクセス権はなくなります。InvestigatorとCSRの両方のタスクを実行できるようにするには、ユーザーがその両方のアクセス権を持つことが想定される動作になります。求められる動作は、ユーザーがInvestigatorとCSRの両方のアクセス権を持つことであり、InvestigatorとCSRのタスクを実行できるようにする必要があります。

2.8.2 一部のケース管理画面にスクロール・バーがなくなる

低解像度のモニターを使用するユーザーは、「ケース詳細」ページの全画面を詳細に表示することができません。詳細情報は、ユーザーのロールに基づいて使用可能な情報を参照しています。低解像度のモニターを使用するユーザーがすべての詳細情報を表示できるように、「ケース詳細」ページにはスクロール・バーが必要です。

2.8.3 ケース検索およびケース詳細にケース処置が表示されない

OAAMエージェント・ケースを「確認済不正」の処置で閉じた後、エージェントは処置で検索することでケースを特定できますが、「ケース」検索ページには、表示する列として「処置」を追加していても、「確認済不正」は表示されません。同じケースの「ケース詳細」ページを開くと、「処置」のフィールドは空になります。

2.8.4 2人のユーザーが同時にケース・ノートを更新すると追加された最後のノートが間違ったユーザーに帰属する

OAAMでは2人のエージェントが同時に1つのケースにアクセスできます。2人のエージェントがノートをそのケースに追加する場合、OAAMは両方のエージェントのノートを保存しますが、2番目のエージェントのノートは最初のエージェントが追加したものとして表示されます。ケースの同時書込みアクセスはサポートされます: 2人のエージェントがケースに同時にアクセスすると、2番目のエージェントはケースが別のエージェントによって作業中であると警告メッセージで通知されます。2番目のエージェントが続行すると、そのケースの所有者になります。ノートは正しいエージェントに帰属します。

2.8.5 手動で作成されたOAAMエージェントがユーザー名またはユーザーIDで検索できない

OAAMエージェント・ケースが構成可能なアクションから自動生成される場合、「ユーザー詳細」パネルには、ケースが作成されたセッションのユーザーの詳細が移入されます。手動でケースを作成してセッションをリンクすると、ユーザーの詳細は移入されません。その後UsernameまたはUser IDでケースを検索すると、自動的に作成されたケースのみが特定されます。

エージェント・ケースの作成ページは、oaam.customercare.agent.case.allow.userinfoプロパティがtrueに設定されていると、有効なUsernameやUser IDのエントリをオプションで受け取れます。UsernameやUser IDが入力されている場合、それはエージェント・ケースにマップされます。UsernameやUser IDにマップされたエージェント・ケースは、UsernameやUser IDで検索可能になります。これらのケースでは、「ケース」検索ページの「ユーザー名」や「ユーザーID」列にマップされたユーザー識別子が表示されます。CSRケースからエスカレートされたエージェント・ケースのみが、「ケース詳細」サマリー・タブの下の「ユーザー詳細」セクションに表示されます。

2.8.6 OAAMでケースの所有権の変更およびノート・アクションのクローズしたケースへの追加が許可される

エージェント・ケースを閉じた後、別のユーザーがそれにアクセスすると、ケースの所有権を変更できてしまいます。ケースの所有者は、ケースにアクセスしたユーザーに変更されます。また、OAAMはケースを閉じた後もノートの追加および編集を許可します。本来は、エージェント・ケースを閉じた後は、いかなる変更も許されません。

2.8.7 Create Agent Case構成可能アクションに誤ったアクション名が表示される

構成可能なアクションでCreate Agent Caseアクションをトリガーする場合、これをアクション・グループに追加するときに、アクションの「名前」と「説明」の両方のAdd to IP Watch listとして表示されます。

2.8.8 KBAおよびOTPの失敗カウンタのリセットおよびロック解除

チャレンジ失敗カウンタは、詳細ページのようにCSRケース詳細には表示されません。KBAおよびOTPの失敗カウンタは、新規またはカスタムのチャレンジ・プロセッサと同様に表示する必要があります。また、Resetアクションですべてのカウンタがリセットされません。Unlockアクションにより、すべてのカウンタ(KBAおよびOTP)をリセットする必要があります。Unlockアクションを実行するときに、カウンタに対して次の処理が必要です。

- KBAをロック解除すると、KBAおよびOTP失敗カウンタが0にリセットされる

- OTPをロック解除すると、KBAおよびOTP失敗カウンタが0にリセットされる

Resetアクションを実行するときに、失敗カウンタに対して次のアクションが必要です。

- KBAをリセットすると、KBAおよびOTP失敗カウンタが0にリセットされる。ユーザーはチャレンジ質問を再登録する必要があります。

- CSR KBAをリセットすると、KBAおよびOTP失敗カウンタが0にリセットされる。ユーザーはチャレンジ質問を再登録する必要があります。

- OTPをリセットすると、KBAおよびOTP失敗カウンタが0にリセットされる。ユーザーはOTPを再登録する必要があります。

次のように機能強化されました。

- OAAM管理コンソールの「ケース詳細」ページには、KBA、OTPおよびその他のカスタム・チャレンジ・メカニズムに関する失敗カウンタや登録などの情報が表示されます。

- 異なるチャネルのOTP失敗カウンタで失敗が統合されます。たとえば、複数のチャネルを使用している場合、まとめられたOTPカウンタがしきい値を上回ると、OTPステータスが「ロック済」と表示されます。そのため、しきい値が3の場合、ユーザーがSMSを2回失敗し、電子メールを一度失敗すると、統合されたOTPカウンタを使用してそれらがロックされます。

- Resetアクションは、すべてのチャレンジ失敗カウンタをリセットします。

- Unlockアクションは、KBAおよびOTPをロック解除する個々のアクションではなく、Unlock Userアクションに統合されます。Unlock Userアクションは、すべての失敗カウンタをリセットします

- ユーザー名は、「ケースID」のかわりにまたは「ケースID」とともに「ケース詳細」タブに表示されます。

- 失敗カウンタのしきい値は、ルール条件、User: Challenge Channel Failureに設定できます。

2.9 パフォーマンスの問題と回避策

この項では、パフォーマンスの問題について説明します。次のトピックが含まれます:

- OAAM管理のセッション検索をスクロールするとメモリー不足エラーが発生する

2.9.1 OAAM管理のセッション検索をスクロールするとメモリー不足エラーが発生する

「セッション検索」ページを上または下にスクロールすると、空またはnullの入力リストが渡されます。これにより、データベースから大量の行数を取得しようとして、エラーjava.lang.OutOfMemoryError:GC overhead limit exceededが発生する場合があります。

2.10 デバイスのフィンガープリント処理の問題および回避策

この項では、デバイスのフィンガープリントの問題について説明します。次のトピックが含まれます:

- OAAM .NETでカスタム・ロケールが使用されるとエラーが発生する

2.10.1 OAAM .NETでカスタム・ロケールが使用されるとエラーが発生する

.Net APIを使用して、ログイン・フローの一環としてカスタム・ロケールを使用するブラウザ・フィンガープリントを生成すると、エラーが発生します: カルチャーID 4096 (0x1000)は未サポートのカルチャーです。\r\nパラメータ名: cultureこの問題はロケールがMicrosoft .NETフレームワークで登録されているためにアプリケーションがカスタム・カルチャーを使用している場合に発生し、OAAM .NET APIクラスでHttpSessionのLCIDからCultureInfoを作成しようとすると、Microsoft .NET frameworkにより例外が発生します。これを回避するには、oaam/src/dotNET/Bharosa/vCrypt/Common/Util/HttpUtil.csの162行目をCultureInfo ci = new CultureInfo(context.Session.LCID);からCultureInfo ci = new CultureInfo(context.Current.Request.UserLanguages[0]);に変更します。

これにより、.NETは、LCIDでなく、ロケールの名前でロケールを検索するようになります。

2.11 地理的位置データ・ローダーの問題および回避策

この項では、地理的位置情報ローダーの問題について説明します。次の項目が含まれます。

- 地理的位置情報データをアップロードすると一意制約違反が発生する

- ファイルに空白行があるとIP位置データ・ローダーは失敗する

2.11.1 地理的位置情報データをアップロードすると一意制約違反が発生する

同じ位置データ・ファイルをリロードしたり、更新された位置データ・ファイルをロードすると、データは正しくロードされますが、ログ・ファイルには一意制約違反に関する大量の警告が出力され、パフォーマンスが低下します。

2.11.2 ファイルに空白行があるとIP位置データ・ローダーは失敗する

データ・ファイル内に空白行があると、OAAMデータ・ローダーはIP位置データのロードに失敗し、行番号をレポートしません。OAAMデータ・ローダーに求められる結果は、空白行をスキップして、行番号を含む警告メッセージを表示することです。

この問題を回避するには、IP位置データ・ファイルを開いて、空白行を削除し、そのファイルを保存します。この問題は、将来のリリースで修正される予定です。

2.12 多言語サポートの問題および回避策

この項では、多言語のサポートの問題および制限について説明します。次の項目が含まれます。

- ブラウザの言語がイタリア語の場合、セッションまたはケースのページを開けない

- ブラウザの言語がポルトガル語(ブラジル)またはスペイン語の場合、OAAM管理コンソールでの日付範囲によるセッション検索およびケース検索が機能しない

2.12.1 ブラウザの言語がイタリア語の場合、セッションまたはケースのページを開けない

ブラウザの言語がイタリア語に設定されている場合、ユーザーは、OAAM管理コンソールでセッション・ページやケース・ページなどカレンダのあるページを開くことができません。次のエラー・メッセージを示すポップアップ・ウィンドウが表示されます。

java.lang.IllegalArgumentException:
Illegal pattern character 'g'

2.12.2 ブラウザの言語がポルトガル語(ブラジル)またはスペイン語の場合、OAAM管理コンソールでの日付範囲によるセッション検索およびケース検索が機能しない

ブラウザの言語がポルトガル語(ブラジル)またはスペイン語に設定されている場合、OAAM管理コンソールでの日付範囲によるセッションおよびケースの検索は機能しません。ユーザーがスペイン語またはポルトガル語(ブラジル)ロケールのセッションまたはケース・ページでカレンダを開くと、年の値は常に1970と表示され、正しい年に変更できません。その結果、検索は機能せず、必要なデータを検索結果に返すことができません。

3 Oracle Access Manager

この章では、Oracle Access Manager 11g リリース1 (11.1.1)に関連する問題について説明します。次の項目が含まれます。

- 3.1項「パッチ要件」

- 3.2項「一般的な問題と回避策」

- 3.3項「構成に関する問題と回避策」

- 3.4項「Oracleセキュリティ・トークン・サービスの問題および回避策」

- 3.5項「統合および相互運用性の問題および回避策」

- 3.6項「偽装に関するOracle Access Managerの回避策」

- 3.7項「ドキュメントの訂正箇所」

3.1 パッチ要件

この項では、Oracle Access Manager 11g リリース1 (11.1.1)のパッチ要件について説明します。内容は次のとおりです。

- 3.1.1項「アイデンティティ・ストア作成時に診断ログでプレーン・テキストの資格証明が公開される」

関連項目:

- サポートされている最新のバージョンおよびプラットフォームの詳細は、Oracle Technology Networkを参照してください。

http://www.oracle.com/technetwork/middleware/ias/downloads/fusion-certification-100350.html

- 最新のパッチ・セットの詳細は、『Oracle Fusion Middlewareパッチ適用ガイド』を参照してください。

- 最新のOracle Access Manager 11g リリース1 (11.1.1)のバンドル・パッチおよび関連リリース・ノートの詳細は、次のURLにあるMy Oracle Supportを参照してください。

https://support.oracle.com/

3.1.1 アイデンティティ・ストア作成時に診断ログでプレーン・テキストの資格証明が公開される

この問題を回避するには、次の操作を実行します。

1. 次の場所にあるMy Oracle Supportに移動します:
http://support.oracle.com

2. 「パッチと更新版」タブをクリックしてOracle Bug#9824531を検索します。関連するパッチをダウンロードして、パッチに含まれるREADMEファイルの手順に従ってインストールします。

3. 「パッチと更新版」タブでOracle Bug#9882205を検索します。関連するパッチをダウンロードして、パッチに含まれるREADMEファイルの手順に従ってインストールします。

3.2 一般的な問題および回避策

この項では、一般的な問題および回避策について説明します。次のトピックが含まれます:

- 3.2.1項「フェデレーションによって保護されたリソースが認証なしに表示される」

- 3.2.2項「Oracle Traffic Directorを使用する場合、SSO認証画面が表示されない」

- 3.2.3項「OSSOプラグインの登録の問題」

- 3.2.4項「OAM 11.1.1.5をOAM 11.1.1.7にアップグレードする際の認証スキームの変更」

- 3.2.5項「PasteConfig IDM (T2P)後に表示されるRemoteRegistrationServerException」

- 3.2.6項「ログイン後にシステム・エラー・ページが表示される」

- 3.2.7項「T2Pの構成の貼付け操作が例外で失敗する」

- 3.2.8項「Webgate 11gのポリシーの作成」

- 3.2.9項「埋込みBIコンテンツの有効なCookieの送信」

- 3.2.10項「不正なSSOエージェント日時がユーザーに表示される」

- 3.2.11項「Webゲート登録後の初期メッセージがユーザーのロケールで表示されない」

- 3.2.12項「ナビゲーション・ツリーで子ノードを開く際のシングルクリックはサポートされていない」

- 3.2.13項「登録ツールのユーザー資格証明ではネイティブ・サーバー・ロケールのASCII以外の文字がサポートされていない」

- 3.2.14項「Oracle Access Manager認証ページのトルコおよびギリシャ文字の問題」

- 3.2.15項「UTF8以外のロケールのOracle Access Manager認証でASCII以外のパスワードがサポートされない」

- 3.2.16項「エージェント作成のエラー・メッセージがサーバーのロケールで表示される」

- 3.2.17項「LDAP検索の参照」

- 3.2.18項「ASCII以外のリソースでは保護を有効化するためにOHSを再起動する必要がある」

- 3.2.19項「ASCII以外の文字を含む成功/失敗URLによってリダイレクトURLが文字化けする」

- 3.2.20項「ASCII以外の文字を含むリソースはOSSOエージェントで保護できない」

- 3.2.21項「コンソールのログインによる管理サーバー・ログのエラー」

- 3.2.22項「ナビゲーション・ツリーの「アプリケーション・ドメイン」サブツリーが描画されず、ユーザー・アクションに応答しない」

- 3.2.23項「無効な値を入力してもeditWebgateAgentコマンドがエラーにならない」

- 3.2.24項「オフライン・モードでWLSTコマンドdisplayWebgate11gAgentによってWebゲート・エージェント・エントリが2度表示される」

- 3.2.25項「クラスタ内のサーバーの起動時にメッセージがINFOではなくErrorレベルで記録される」

- 3.2.26項「WLSTコマンドregisteroifdappartnerにはHelpを使用できない」

- 3.2.27項「認証フローの先に進むには「続行」をクリックする必要がある」

- 3.2.28項「OCSP関連のフィールドは必須ではない」

- 3.2.29項「コンソールで「データベース」ノードが存在しない」

- 3.2.30項「提供されるオンライン・ヘルプが最新でない可能性がある」

- 3.2.31項「Oracle Access Manager監査レポートAUTHENTICATIONFROMIPBYUSERによって「FROMキーワードが指定の位置にありません」エラーがスローされる」

- 3.2.32項「無効: カスタム・リソース・タイプを作成できない」

- 3.2.33項「WebゲートにASCII以外の名前を使用するとSSOリダイレクト・フローに影響する」

- 3.2.34項「「認証モジュール」にプライマリ以外のアイデンティティ・ストアが表示される」

- 3.2.35項「Fusion Middleware Controlの「アイデンティティおよびアクセス」ノードからOAMサーバーを起動および停止できない」

- 3.2.36項「WebLogic Serverのインストール時に不正なJavaパスが指定されると管理サーバーが起動しない」

- 3.2.37項「UserIdentityStore1タイプを変更すると管理者がロックアウトされる可能性がある」

- 3.2.38項「ページ・レイアウトおよびロケール」

- 3.2.39項「一部のページが正しくローカライズされない」

- 3.2.40項「Internet Explorerのバージョン7、8、9でのASCII以外の問合せ文字列の問題」

- 3.2.41項「SSLに対応したOracle Virtual Directory」

- 3.2.42項「問合せ文字列が正しくエンコードされない」

3.2.1 フェデレーションによって保護されたリソースが認証なしに表示される

新しいOracle Access Manager統合フェデレーション機能によって保護されたページにInternet Explorerブラウザでアクセスすると、ブラウザのCookieの削除オプションがCookieを削除しないため、認証が要求されません。これはブラウザに固有の問題です。回避策: 「ツール」→「インターネット オプション」→「参照履歴」(Cookieを選択していることを確認)を使用して参照履歴を削除し、Internet Explorerのすべてのインスタンスを閉じます。OAM保護ページに再びアクセスすると、認証が要求されます。

3.2.2 Oracle Traffic Directorを使用する場合、SSO認証画面が表示されない

ポリシーが定義されている場合、ホスト識別子属性は、保護されているリソースの名前と同じ値を取ります。WebGateは、リソースへのアクセスのリクエストを捕捉すると、リクエストのアドレスをチェックします。アドレスは、ホスト識別子リストにある場合はホスト識別子名にマップされ、適用可能なすべてのポリシーおよびルールを適用できます。この状況では、Oracle HTTP ServerがOracle Traffic Director (ロード・バランサ)を経由する場合、すべての必要なホストおよびポートがリストに追加されなかったことを承認する例外がスローされます。次の手順を使用してホスト識別子リストを更新します。

1. Oracle Access Managerコンソールを起動します。

2. 左側の「ポリシー構成」タブをクリックします。

3. 「ポリシー構成」ペインの「ホスト識別子」をクリックします。
「ホスト識別子」ページが表示されます。

4. 検索機能を使用して適切なホスト識別子を検索します。

5. 検索結果から適切なホスト識別子を選択し、「編集」をクリックします。

6. 「名前」フィールドにホストの名前を入力します。

7. (オプション)「説明」フィールドに簡単な説明を入力します。

8. このホストを識別するすべての組合せを「ホスト名組合せ」フィールドに入力します。
ポートを指定していない場合、デフォルトのポート番号は追加されません。

9. 「保存」をクリックして、Oracle Access Manager管理サーバーおよび管理対象サーバーを再起動します。

3.2.3 OSSOプラグインの登録の問題

OSSOプラグインは、顧客がOHSの使用を望まない場合のiPlanetおよびIIS用です。これは、2011年に中止されたOID/SSO 10.1.2.3または10.1.4.3で登録する必要があります。

3.2.4 OAM 11.1.1.5をOAM 11.1.1.7にアップグレードする際の認証スキームの変更

OAM 11.1.1.5からOAM 11.1.1.7にアップグレードし、カスタム・ログイン・ページを使用するOracle Access Managerの任意の顧客は、AnonymousScheme認証スキームの「チャレンジ・パラメータ」からredirect=trueエントリを削除しないと「ログイン」ページが機能しません。詳細はMOSノート1548551.1にあります。

3.2.5 PasteConfig IDM (T2P)後に表示されるRemoteRegistrationServerException

pasteConfigが正常に終了した場合でも、RemoteRegistrationServerExceptionがログに記録されます。Oracle Access Managerコンソールにアクセスしてすべてのエージェントを表示できる場合、この例外は無害であり無視できます。

3.2.6 ログイン後にシステム・エラー・ページが表示される

長いURLを使用してページへのログインが成功した後、Oracle Access Managerのシステム・エラー・ページが表示される場合があります。以前のリリースで同じページにアクセスしても、このような結果になりません。2回目に長いURLのページにアクセスすると、この条件はクリアされる場合があります。

3.2.7 T2Pの構成の貼付け操作が例外で失敗する

テストの構成部分を本番のプロシージャに貼り付けようとすると、次の例外が発生する場合があります。

javax.management.RuntimeMBeanException:
javax.management.RuntimeMBeanException: Configuration MBean not initialized.

現在のところ、この問題に対する回避策はありません。

3.2.8 Webgate 11gのポリシーの作成

Oracle Identity ManagerとOracle Access Managerの統合は、Webgate 11gをサポートします。次の手順に従って、Webgate 11gのポリシーを作成します。

1. idmConfigTool configOAMおよびidmConfigTool configOIMプロパティ・ファイルで、WEBGATE_TYPEの値を変更します。

- ohsWebgate11g (Webgate 11の場合)

- ohsWebgate10g (Webgate 10の場合)

2. Oracle Access Managerコンソールにログインします。

3. 「ポリシー構成」タブを選択します。

4. 「アプリケーション・ドメイン」 - 「IAM Suite」を開きます。

5. 「リソース」をクリックします。

6. 「開く」をクリックします。

7. 「新規リソース」をクリックします。

8. 次の値を指定します。

- タイプ: HTTP

- 説明: OAM資格証明コレクタ

- ホスト識別子: IAMSuiteAgent

- リソースURL: /oam

- 保護レベル: 非保護

- 認証ポリシー: パブリック・ポリシー

9. 「適用」をクリックします。

3.2.9 埋込みBIコンテンツの有効なCookieの送信

埋込みBIコンテンツとOracle Access Managerが別の物理マシン上にある場合、または同じマシンの別のポートからアクセスされる場合、アプリケーションのコンテナのBIプロキシは、保護されたBIコンテンツにアクセスするために、自身をOracle Access Managerサーバーに認証する必要があります。有効なOAMAuthnCookieが確実にWebゲートに送信されるために、Webゲートの構成プロファイルの「ユーザー定義パラメータ」セクションでfilterOAMAuthnCookie=falseを設定する必要があります。変更した後に新しいパラメータ値を有効にするために、サーバーを再起動します。

3.2.10 不正なSSOエージェント日時がユーザーに表示される

「OAMエージェントの作成」ページのデフォルトの開始日は、Oracle Access Managerサーバーの日時に基づきます。エンド・ユーザーに表示される日時は、ユーザーのマシンではなく、Oracle Access Managerサーバーのタイムゾーンに基づきます。

3.2.11 Webゲート登録後の初期メッセージがユーザーのロケールで表示されない

Webゲートの登録後、関連コンポーネントの初期メッセージの説明フィールドがユーザーのロケールで表示されません。

説明フィールドでは多言語サポート(MLS)がサポートされません。

3.2.12 ナビゲーション・ツリーで子ノードを開く際のシングルクリックはサポートされていない

ナビゲーション・ツリーで子ノードを開く際のシングルクリックはサポートされていませんが、ダブルクリックはサポートされています。

3.2.13 登録ツールのユーザー資格証明ではネイティブ・サーバー・ロケールのASCII以外の文字がサポートされていない

Oracle Access Manager登録ツールoamreg.sh/oamreg.batのユーザー資格証明では、LinuxのUTF8以外のサーバー・ロケールおよびWindowsネイティブ・サーバーのASCII以外の文字はサポートされていません。

3.2.14 Oracle Access Manager認証ページのトルコおよびギリシャ文字の問題

ユーザー名にトルコ語、ドイツ語またはギリシャ語の特殊文字が含まれており、ログイン名が特殊文字部分のみ異なる場合は、大/小文字が区別されないこと、および大/小文字のマッピングにより、ユーザーが認証を通過する可能性があります。

一部の国際化文字には特別な大文字化ルールを設定して、再び小文字に変換されないようにする必要があります。

たとえば、ドイツ語におけるSSとßの問題があります。この場合、ßは小文字としてのみ存在します。ßを大文字に変換しようとすると、ßはSSに変換されます。この後、この大文字テキストを小文字に戻すと、SSはssになり、元のßには戻りません。

3.2.15 UTF8以外のロケールのOracle Access Manager認証でASCII以外のパスワードがサポートされない

サーバーのロケールがUTF-8ではなく、WebLogic Server組込みLDAPをアイデンティティ・ストアとして使用している場合は、「SSO認証」ページでASCII以外のパスワードがサポートされません。

3.2.16 エージェント作成のエラー・メッセージがサーバーのロケールで表示される

管理者が既存のエージェントと同じ名前のエージェントを作成した場合、表示されるエラー・メッセージの言語は、ブラウザのロケールではなくサーバーのロケールに基づきます。

3.2.17 LDAP検索の参照

Oracle Access Manager 11gリリース1 (11.1.1)は、参照を戻すLDAPサーバーと直接連携して動作することはできません。

回避策として、Oracle Virtual Directoryを使用します。

3.2.18 ASCII以外のリソースでは保護を有効化するためにOHSを再起動する必要がある

保護されている認証ポリシーにASCII以外の名前のリソースを追加する場合、11g OHSサーバーを再起動して保護を有効化する必要があります。一方、英文字のリソースを追加する場合は、OHSサーバーを再起動する必要はなく、即座に保護が有効になります。

3.2.19 ASCII以外の文字を含む成功/失敗URLによってリダイレクトURLが文字化けする

認証ポリシー用に構成された成功/失敗URLの指定URLにASCII以外の文字が含まれる場合、そのURLがユーザー認証時に使用される際に、URLが文字化けします。これは、認証スキームがBasic認証で、エンドユーザーのブラウザが中国語バージョンのWindowsで稼働する簡体字中国語バージョンのIE8である場合のみ発生します。

3.2.20 ASCII以外の文字を含むリソースはOSSOエージェントで保護できない

OSSOエージェントでは、リソースURL全体がUTF-8形式にエンコードされないため、リソースを保護できません。

この問題を回避するには、SSOエージェントのかわりにWebゲート・エージェントを使用します。

Webゲートでは、リソースURL全体をUTF-8形式に変換できます。

3.2.21 コンソールのログインによる管理サーバー・ログのエラー

Oracle Access Managerコンソールに管理者としてログインした後、新しいブラウザ・タブで管理者としてコンソールにログインすると、管理ログに次のエラーが表示されます。

------------------------------------------------------------
<May 20, 2010 10:12:47 AM PDT> <Error>
<oracle.adfinternal.view.page.editor.utils.ReflectionUtility> <WCS-16178>
<Error instantiating class -
oracle.adfdtinternal.view.faces.portlet.PortletDefinitionDTFactory>
------------------------------------------------------------

このエラー・メッセージによる機能への影響はありません。

3.2.22 ナビゲーション・ツリーの「アプリケーション・ドメイン」サブツリーが描画されず、ユーザー・アクションに応答しない

ナビゲーション・ツリーの「アプリケーション・ドメイン」サブツリーが描画されない、またはユーザー・インタフェース・アクションに長時間応答がない場合は、複数のリフレッシュが起因する可能性があります。

この問題を回避するには、管理サーバーを再起動し、Oracle Access Managerコンソールに再度ログインします。

3.2.23 無効な値を入力してもeditWebgateAgentコマンドがエラーにならない

オンライン・モードとオフライン・モードの両方で、「状態」フィールドに無効な値を入力しても、WLSTコマンドeditWebgateAgentはエラーになりません。「状態」は必須フィールドにもかかわらず、Oracle Access Managerコンソールでは、このフィールドの値は有効または無効のいずれとしても表示されません。

3.2.24 オフライン・モードでWLSTコマンドdisplayWebgate11gAgentによってWebゲート・エージェント・エントリが2度表示される

オフライン・モードでは、WLSTコマンドdisplayWebgate11gAgentによって、11g Webゲート・エージェントのエントリが「システム構成」タブに2度表示されます。

3.2.25 クラスタ内のサーバーの起動時にメッセージがINFOではなくErrorレベルで記録される

クラスタ内のOracle Access Managerサーバーの起動時に、次のメッセージが表示されます。

<Jun 22, 2010 3:59:41 AM PDT> <Error> <oracle.jps.authorization.provider.pd>
<JPS-10774> <arme can not find state.chk file.>

メッセージの正しいレベルは、ErrorではなくINFOです。

3.2.26 WLSTコマンドregisteroifdappartnerにはHelpを使用できない

HelpコマンドはWLSTコマンドregisteroifdappartnerには使用できません。

オンラインおよびオフラインのコマンドによって、Oracle Identity Federationは委任認証プロトコル(DAP)パートナとして登録されます。

詳細は、『Oracle Fusion Middleware WebLogic Scripting Toolコマンド・リファレンス』のregisterOIFDAPPartnerに関する項を参照してください。

構文

registerOIFDAPPartner(keystoreLocation="/scratch/keystore"
logoutURL="http://<oifhost>:<oifport>/fed/user/sploosso?doneURL=
http://<oamhost>:< oam port>/ngam/server/pages/logout.jsp",
rolloverTime="526")

パラメータ名

定義

keystoreLocation

キーストア・ファイルの場所。OIFサーバーで生成されたファイル。(必須)

logoutURL

OIFサーバーのログアウトURL。<必須>

rolloverInterval

SASSOトークンの暗号化/復号化に使用されるキーのロールオーバー間隔(オプション)

例

The following invocation illustrates use of all parameters.

registerOIFDAPPartner(keystoreLocation="/scratch/keystore",
logoutURL="http://<oifhost>:<oifport>/fed/user/sploosso?doneURL=http://<oamhost>:
<oam port>/ngam/server/pages/logout.jsp", rolloverTime="526")

3.2.27 認証フローの先に進むには「続行」をクリックする必要がある

Oracle Adaptive Access Managerとのネイティブ統合では、リソースは、Oracle Adaptive Access ManagerのBasic認証スキームを使用するOracle Access Managerポリシーによって保護されます。

ユーザーがリソースにアクセスしようとすると、ユーザー名ページが表示されます。

ユーザー名を入力した後、パスワード・ページに進むためには、「続行」をクリックする必要があります。パスワード・ページは自動では表示されません。

回避策として、ユーザーが「続行」をクリックすると、パスワード・ページに進むことを許可される可能性があります。

3.2.28 OCSP関連のフィールドは必須ではない

次のOCSP関連フィールドは、X509認証モジュールでは必須ではなくなりました。

- OCSPサーバー別名

- OCSP応答者URL

- OCSP応答者タイムアウト

OCSPが有効の場合

管理者がOCSP関連のフィールドに値を入力する必要があります。フィールドが入力されていない場合、コンソール側からのエラーはありません。

管理者の責任において、これらの値を指定する必要があります。

OCSPが無効の場合

OCSP関連のフィールドに値を入力する必要はありません。OCSP自体が有効化されていないため、これらのフィールドに値が入力されても重要性はありません。

デフォルトの即時利用可能な構成では、OCSPレスポンダのURLはhttp://ocspresponderhost:portです。他のフィールドを変更し、これをそのままにすると、検証エラーが表示されます。この原因は、この値は依然としてバックエンドおよびコンソールに送信されますが、レイヤー・ポートは数値フィールドである必要があるためです。数値フィールドであるポートを使用してこのフィールドを変更することも、値全体を削除することもできます。

3.2.29 コンソールで「データベース」ノードが存在しない

「システム構成」タブ(「共通構成」セクション)の「データ・ソース」ノードで、Oracle Access Manager 11g (11.1.1.5)に「データベース」ノードが存在しません。

3.2.30 提供されるオンライン・ヘルプが最新でない可能性がある

Oracle Access Managerコンソールではオンライン・ヘルプを使用できますが、最新の情報が使用されているかどうかを確認するにはOTNを確認する必要があります。

3.2.31 Oracle Access Manager監査レポートAUTHENTICATIONFROMIPBYUSERによって「FROMキーワードが指定の位置にありません」エラーがスローされる

Oracle Access Manager監査レポートAuthenticationFromIPByUserは、Oracle Database 11.2.0の機能を使用するため、古いバージョンのデータベースでは機能しません。古いバージョンを使用した場合は次のエラーが表示されます。

ORA-00923 FROMキーワードが指定の位置にありません

3.2.32 無効: カスタム・リソース・タイプを作成できない

Oracle Access Manager 11gの場合、カスタム・リソース・タイプは作成しないようにする必要があります。初期リリースでは、リソース・タイプを作成/編集/削除するためのボタンは使用できませんでした。

Oracle Access Manager 11g (11.1.1.7)では、これらのコマンド・ボタンは無効です。Oracle提供のリソース・タイプには、次が含まれます。

- HTTP (HTTPSを含む)

- TokenServiceRP(トークン・サービスのリライイング・パーティを表すリソース)

- wl_authen (WebLogic認証スキームを表すリソース)

3.2.33 WebゲートにASCII以外の名前を使用するとSSOリダイレクト・フローに影響する

OAMサーバーをWebゲートとともに使用し、WebゲートIDをASCII以外の名前で登録すると、認証リダイレクトが無効なリクエストとしてOAMサーバーに拒否されます。

このリダイレクトの問題を回避するには、WebゲートにASCIIの名前を使用します。

注意:

管理サーバーおよびOracle Access ServerをUTF-8ロケールで起動した場合、リソースは保護され、エラー・メッセージは表示されません。

リダイレクトの問題は、ネイティブ・サーバー・ロケール(WindowsおよびUTF8以外のLinuxサーバー・ロケール)でのみ発生します。

3.2.34 「認証モジュール」にプライマリ以外のアイデンティティ・ストアが表示される

ユーザー・インタフェースの認証モジュールでは、認証/認可に使用できるのはプライマリ・アイデンティティ・ストアのみであるため、リストではプライマリ・アイデンティティ・ストアのみを選択する必要があります。現在、Oracle Access Managerコンソールでは、プライマリではないアイデンティティ・ストアを選択できます。

3.2.35 Fusion Middleware Controlの「アイデンティティおよびアクセス」ノードからOAMサーバーを起動および停止できない

Fusion Middleware Controlでは、「Identity and Access」の下にあるoam_serverノードを使用した次のOracle Access Manager操作はサポートされていません。

- 起動

- 停止

- ログ・メッセージの表示

一方、Oracle Access Managerの管理対象サーバー・インスタンスでは、これらの操作がサポートされています。Fusion Middleware Controlの「アプリケーション・デプロイメント」の下にある(特定のサーバーの)oam_serverノードを使用して実行できます。

3.2.36 WebLogic Serverのインストール時に不正なJavaパスが指定されると管理サーバーが起動しない

Windowsの64ビットのプラットフォームでは、32ビットのJAVA_HOME (jdk1.6.0_23)を使用してWebLogic Serverを正常にインストールできます。Windowsの64ビットのプラットフォームでは、32ビットのJAVA_HOME (c:\program files (x86)\java\jdkxxx)はstartWeblogic.cmdによって正しく処理されません。

- setup.exeを使用してインストール・シールドを起動する場合、64ビットのJAVA_HOMEのパスを指定するよう求められます。32ビットのJAVA_HOME (jdk1.6.0_24)パスを指定すると、インストール・シールドは起動しません。

- \Middleware\Oracle_IDM1\common\binからconfig.cmdを実行すると、32ビットのJAVA_HOME (jdk1.6.0_24)が使用されます。ただし、インストールが成功しても、管理サーバーを起動できません。

回避策: SUN_JAVA_HOMEを短い名前のパス(c:\progra~2\java\jdkxxxx)を使用するよう置き換えることをお薦めします。

- Windowsの場合、"dir /X"を実行することにより、短い名前を表示できます。

- また、短い名前を使用してWindowsのコマンド・シェル変数JAVA_HOMEをパスに設定し、この中でstartWeblogic.cmdを実行することもできます。次に例を示します。
>set JAVA_HOME=c:\progra~2\java\jdkXXX

>startweblogic.cmd

3.2.37 UserIdentityStore1タイプを変更すると管理者がロックアウトされる可能性がある

システム・ストアとして指定されているアイデンティティ・ストアを編集し、ストア・タイプを変更したり(たとえば、組込みLDAPからOIDへ)接続URLを変更しないようにする必要があります。

編集でのストア・タイプ変更を禁止するシステム・ストアとして指定されているアイデンティティ・ストアを変更する必要がある場合は、新規アイデンティティ・ストアを作成してから、この登録を編集してシステム・ストアとしてマークすることをお薦めします。

3.2.38 ページ・レイアウトおよびロケール

アラビア語およびヘブライ語のロケールでは、シングル・サインオン(SSO)の「ログイン・ページ」、「偽装承諾」ページ、「ログアウト・ページ」、偽装エラー・ページおよび「ログイン・エラー」ページのレイアウトは変更されません。

3.2.39 一部のページが正しくローカライズされない

「セッション管理検索」ページの作成インスタントおよび最新アクセス時間の日付書式が正しくローカライズされません。

3.2.40 Internet Explorerのバージョン7、8、9でのASCII以外の問合せ文字列の問題

Internet Explorerブラウザの制限により、リソースURLを直接入力するか貼り付けると、ASCII以外の問合せ文字列でリソースが表示されます。

3.2.41 SSLに対応したOracle Virtual Directory

Oracle Virtual Directoryをユーザー・アイデンティティ・ストアとして使用する場合、SSLポートを使用するよう登録を変更した後、SSLボックスを確認した後、および接続をテストした場合(「接続テスト」ボタン)、エラーは表示されません。ただし、(SSL以外のポートが正常であっても)認証は失敗します。接続テストを初めて実行する場合やその後に実行する場合、Oracle Virtual Directory側からソケット・タイムアウト例外が発生します。

回避策: 次のように、SSLポートのNIOを無効にします。

1. Oracle Virtual Directoryを停止します。次に例を示します。

$ORACLE_INSTANCE/bin/opmnctl stopproc ias-component=ovd1

2. 次のように、listener.os_xmlのLDAP SSLリスナー・セクションを編集して<useNIO>false</useNIO>を追加します。

$ORACLE_INSTANCE/config/OVD/ovd1/listener.os_xml

<ldap version="20" id="LDAP SSL Endpoint">
<port>7501</port>
<host>0.0.0.0</host>
.........
.........
<tcpNoDelay>true</tcpNoDelay>
<readTimeout>180000</readTimeout>
</socketOptions>
<useNIO>false</useNIO>
</ldap>

3. ファイルを保存します。

4. 接続を複数回テストし、正常に動作していることを確認します。

3.2.42 問合せ文字列が正しくエンコードされない

有効なURLエスケープ・シーケンスとなる文字のシーケンスが%の後ろにない場合、Webゲートからの問合せ文字列のエンコードは行われません。この場合、%はデコード済文字列内の%として保持され、次のエラーが発生します。

No message for The Access Server has returned a status that is unknown to the
Access Gate .Contact your website administrator to remedy this problem.

回避策:

11g Webゲート: 問合せ文字列内に%文字を指定するには、%のかわりに%25を指定する必要があります。

10g Webゲート: 11g Webgateの回避策は匿名スキームに対してのみ適用されます。他の認証スキームの場合、現在、回避策は存在しません。

3.3 構成の問題および回避策

この項では、構成に関する問題およびその回避策について説明します。次の項目が含まれます。

- 3.3.1項「mod-ossoのRedirectMethod値をPOSTにする必要がある」

- 3.3.2項「Oracle Identity Manager管理コンソールのログアウト後に、ユーザーに対して誤ってセルフユーザー・ログインが表示される」

- 3.3.3項「コンパクト構成で11g Webゲートをインストールできない」

- 3.3.4項「IBM JDKをダウンロードしてリモート管理者の構成の問題を修正する」

- 3.3.5項「リソースがBasic認証スキームを使用して保護されている場合は認証失敗に関連する情報が監査で取得されない」

- 3.3.6項「本番環境でパートナ情報にアクセスできない」

- 3.3.7項「互換性のないMsvcirt.dllファイル」

- 3.3.8項「IPv6のサポート」

- 3.3.9項「Oracle Access Manager構成で回避または注意すべき事項」

- 3.3.10項「インストレーション・ガイドに集中ログアウトの構成手順が含まれていない」

- 3.3.11項「アップグレード時に管理サーバー・コンソールにNULLポインタ例外が表示される」

- 3.3.12項「Oracle Access Manager 11gサーバーでのAccess SDKバージョン10.1.4.3.0の使用」

- 3.3.13項「コンソールを使用したセッションの検索および削除」

- 3.3.14項「Kerberos認証スキームによって保護されているリソースに対するASCII以外のユーザー」

3.3.1 mod-ossoのRedirectMethod値をPOSTにする必要がある

Webゲートで長いURLをサポートするために、oam-config.xmlの下に次のコード・サンプルが追加されています。

<Setting Name="AgentConfig" Type="htf:map">
<Setting Name="OSSO" Type="htf:map">
<Setting Name="RedirectMethod"Type="xsd:string">GET</Setting>
<Setting Name="Delimiter" Type="xsd:string">AND</Setting>
</Setting>

mod-ossoの場合、RedirectMethodの値をPOSTにする必要がありますが、即時利用可能な値として用意されている値はGETです。次の手順に従い、変更を実行してください。これは、この変更は手動で実行する必要があり、この作業を行うためのユーザー・インタフェースやWLSTコマンドがないためです。

1. Oracle Access Managerコンソールおよび管理対象サーバーを停止します。

2. cd DOMAIN_HOME/config/fmwconfigを入力します。

3. vi oam-config.xmlを入力します。

4. oam-config.xmlの次の行に移動します。

<Setting Name="AgentConfig" Type="htf:map">
<Setting Name="OSSO" Type="htf:map">
<Setting Name="RedirectMethod"Type="xsd:string">GET</Setting>

次のようにGETをPOSTに変更します。

<Setting Name="RedirectMethod"Type="xsd:string">POST</Setting>

5. 変更を保存して、管理サーバーおよび管理対象サーバーを起動します。

3.3.2 Oracle Identity Manager管理コンソールのログアウト後に、ユーザーに対して誤ってセルフユーザー・ログインが表示される

Oracle Identity Manager管理コンソールからログアウトした後、ユーザーに対してセルフユーザー・ログインが表示されます。

リダイレクトを修正するには、ログアウトを正常に機能させる必要があります。

10g Webゲートでのログアウトに関する回避策は次のとおりです。

1. logout.htmlを(たとえば、Oracle_IDM1/oam/server/oamsso/logout.htmlから)webgate_install_dir/oamssoへコピーします。

2. ファイル内のログアウトURLをhttp://oam_server:oam_server/ngam/server/logoutに更新します。

3. ログアウト後に特定のページにリダイレクトする必要がある場合は、ログアウトURLをhttp://oam_server:oam_server/ngam/server/logout?doneURL=http://host:port/specifipage.htmlに変更します。

3.3.3 コンパクト構成で11g Webゲートをインストールできない

コンパクト構成では、ハードウェア能力に制限があるマシンに、アイデンティティ管理の全コンポーネントがインストールされます。

11g Webゲートをコンパクト構成でインストールしようとすると、構成ステップで次のエラーが発生します。

Configuring WebGate...
There is an error. Please try again.
Preparing to connect to Access Server. Please wait.
Client authentication failed, please verify your WebGate ID.
cp: cannot stat
`$ORACLE_HOME/ohs/conf/aaa_key.pem':
No such file or directory
cp: cannot stat
`$ORACLE_HOME/ohs/conf/aaa_cert.pem':
No such file or directory
cp: cannot stat
`$ORACLE_HOME/ohs/conf/aaa_chain.pem':

このエラーは、インストール時にoam-config.xmlの次のエントリが初期化されていないことが原因で発生します。

<Setting Name="oamproxy" Type="htf:map">
<Setting Name="sslGlobalPassphrase" Type="xsd:string">changeit</Setting>
<Setting Name="SharedSecret" Type="xsd:string">1234567812345678</Setting>
</Setting>

oam-config.xmlを正しく初期化するには:

1. 次の手順を実行して、CSFリポジトリからOAMエントリを削除します。

1. 次のWebLogic Scripting Toolを起動します。
oracle_common/oracle_common/common/bin/wlst.sh

2. WLSTシェルで、ドメインに接続するためのコマンドを入力し、要求された情報を入力します。
次にサンプルを示します。

wls:/offline> connect ()
Please enter your username [weblogic] :
Please enter your password [welcome1] :
Please enter your server URL [t3://localhost:7001] :
Connecting to t3://localhost:7001 with userid weblogic ...
Successfully connected to Admin Server 'AdminServer' that belongs to domain 'imdomain86'.

3. domainRuntimeに変更します。
次にサンプルを示します。

wls:/imdomain86/serverConfig> domainRuntime ()
Location changed to domainRuntime tree. This is a read-only tree with DomainMBean as the root.

4. マップ名がOAMでキーがjksのCSFリポジトリにエントリが存在するかどうかを確認します。
次にサンプルを示します。

wls:/imdomain86/domainRuntime> listCred(map="OAM_STORE",key="jks") {map=OAM_STORE, key=jks}
Already in Domain Runtime Tree
.
[Name : jks, Description : null, expiry Date : null]
PASSWORD:1qaldrk3eoulhlcmfcqasufgj2
.

5. CSFリポジトリからOAMマップ・エントリを削除します。

wls:/imdomain86/domainRuntime> deleteCred(map="OAM_STORE",key="jks")
{map=OAM_STORE, key=jks}
Already in Domain Runtime Tree
.

6. wlstシェルを終了します。
次にサンプルを示します。

wls:/imdomain86/domainRuntime> exit ()
.
.
.

2. DOMAIN_HOME/config/fmwconfigに移動してファイル.oamkeystoreを削除します。
次に(linuxの)サンプルを示します。

[aime@pdrac09-5 fmwconfig]$ rm .oamkeystore
.

3. 管理対象サーバーおよび管理サーバーを停止します。

4. 管理サーバーを起動します。

5. oam-config.xmlを確認します。

6. 管理対象サーバーを起動します。

oam-config.xmlの確認手順は次のとおりです。

1. DOMAIN_HOME/config/fmwconfig/oam-config.xmlに移動します。

2. DeployedComponent→Server→NGAMServer→Instanceの下で、WebLogic Serverのすべてのサーバー・インスタンスが構成されていることを確認します。

3. OAM管理対象サーバーのプロトコル、ホストおよびポートが、次の場所に含まれていることを確認します。
DeployedComponent→Server→NGAMServer→Profile→OAMServerProfile→OAMSERVER

4. SSO CipherKeyが生成済で次の場所に含まれていることを確認します。
DeployedComponent→Server→NGAMServer→Profile→ssoengine→CipherKey

5. SharedSecretおよびsslGlobalPassphraseのoamproxyエントリが生成済で、次の場所に含まれていることを確認します。
DeployedComponent→Server→NGAMServer→Profile→oamproxy

SharedSecretには1234567812345678とは異なる値、およびsslGlobalPassphraseにはchangeitとは異なる値がそれぞれ指定されている必要があります。

3.3.4 IBM JDKをダウンロードしてリモート管理者の構成の問題を修正する

AIX上で管理者のOracle Access Managerリモート登録が失敗する場合は、Oracle用Interim Fixes (iFix)付きのIBM JDK 1.6 SR7をダウンロードしてください。

注意:

これらの手順は、IBM JDK 1.6 SR7+ifixのみを対象としています。SR7には適用されません。

IBMの汎用ユーザーIDを取得していない場合は、IBMのWebサイトで次の手順で登録できます。登録に関する問題は、Webサイトの内容に従ってIBMに問い合せてください。

1. 次のURLに移動します。
https://www14.software.ibm.com/webapp/iwm/web/reg/signup.do?source=swg-ibmjavaisv&S_TACT=IBMJavaISV%E2%8C%A9=en_US

2. 「Downloads」をクリックします。
IBMソフトウェアのダウンロード・ページが表示されます。

3. アクセス・キーMJ3D7TQGMKを入力します。

4. 「Download Director」(Windows用の推奨)または「HTTP」(UNIX用の推奨)を使用することを選択します。
製品名IBM SDK's for Oracle Fusion Middleware 11gの下に、ビルドが表示されます。

前述のように、ダウンロードして使用するバージョンは次のとおりです。

pap6460sr7ifix-20100512_01(JDK 6 SR7 +IZ70326+IZ68993+IZ74399)

3.3.5 リソースがBasic認証スキームを使用して保護されている場合は認証失敗に関連する情報が監査で取得されない

リソースはBasicスキームを使用して保護できますが、WebLogic Serverには、最初にユーザーを認証してからサーバーへ送信するという機能があります。

config.xmlの<security-configuration>の下にフラグ<enforce-valid-basic-auth-credentials>false</enforce-valid-basic-auth-credentials>を追加してサーバーを再起動すると、WebLogic Serverの認証をバイパスできます。資格証明は、送信されてOAMサーバーに戻されると監査されます。

WebLogic Server管理コンソールでは、enforce-valid-basic-auth-credentials設定は表示されず、ログにも記録されません。一方、WLSTを使用すると稼働中のサーバーで値をチェックできます。config.xmlでこの設定行い、この値を変更する必要があります。

これを行うには、次の場所にあるセキュアなWebアプリケーションの開発に関する説明を参照してください。

http://download.oracle.com/docs/cd/E13222_01/wls/docs103/security/thin_client.html#wp1037337

3.3.6 本番環境でパートナ情報にアクセスできない

テストから本番へ移行した後に、次の手順を実行する必要があります。

1. テスト・システムからポリシーをインポートする際に、本番OAMサーバーが停止していることを確認します。

2. Oracle Access Managerコンソールにログインして、本番システムのすべてのエージェント(IAMSuiteAgentを含む)のプライマリ/セカンダリ・サーバー・リストを変更します。

3. 各Webゲート・エージェント(IAMSuiteAgentエージェントを除く)に対して生成されたWebゲートの、生成されたアーティファクトをコピーします。

4. 本番OAM管理対象サーバーを起動します。

5. すべてのWebゲート・エージェントのOHSを再起動します。

次の場合は、テスト環境から本番環境へのパートナ情報の移行時に、パートナ情報にアクセスできません。

- migratePartnersToProdコマンドが使用されていました。これは期限切れになっています。かわりに次のコマンド・セットを使用する必要があります。

- exportPartners- このコマンドを使用して、テスト環境からパートナをエクスポートします。これは、パートナのエクスポート元であるOAMサーバーから実行する必要があります。このコマンドはパラメータとして一時oam-partnersファイルへのパスを受け取ります。

exportPartners(pathTempOAMPartnerFile=', <pathTempOAMPartnerFile>')

- importPartners- このコマンドを使用して、本番環境にパートナをインポートします。これは、パートナのインポート先であるOAMサーバーから実行する必要があります。このコマンドはパラメータとして一時oam-partnersファイルへのパスを受け取ります。

importPartners(pathTempOAMPartnerFile=', <pathTempOAMPartnerFile>')

- 移行後に、本番システムと一致させるためのエージェント・プロファイル編集が行われませんでした。
Webゲート・エージェントは、テスト・システムで使用可能なプライマリ/セカンダリ・サーバーのホストおよびNAPポートのリストを使用して構成された可能性があります。本番システムには、テスト・システムで構成されたものと同じホストおよびポートを使用するサーバー・インスタンスが含まれない可能性があります。SysConfigエージェント・プロファイルのユーザー・インタフェースは、プライマリ/セカンダリ・サーバー・リストのホストおよびポートの詳細が一致するサーバーを選択してサーバー名を取得するため、移行後に、ユーザー・インタフェースにサーバー名が表示されない可能性があります。プライマリ/セカンダリ・サーバーのリストは、本番システムで使用可能なサーバー・インスタンス・リストのサブセットの可能性があるため、移行後にエージェント・プロファイルを編集して本番システムと一致させる必要があります。

3.3.7 互換性のないMsvcirt.dllファイル

Oracle Access Manager 10g Webゲートのインストール時にプロンプトが表示された際に、現在のバージョンのmsvcirt.dllをより新しいバージョンに置き換えないでください。これを行うと、非互換性の問題が発生します。後でOSSO 10g (10.1.4.3)をインストールする際に、必要な.dllファイルが見つからないためにopmn.exeコマンドが起動せず、OracleCSServiceがタイムアウトになる可能性があります。

3.3.8 IPv6のサポート

Oracle Access Manager 11gに対してサポートされているトポロジは、次のとおりです。

サポートされているトポロジ

- Webゲート10gまたはWebゲート11gおよび保護されているアプリケーション(IPv4 (Internet Protocol Version 4)プロトコル・ホスト上)

- OHS (Oracle HTTP Server)リバース・プロキシ(デュアルスタック・ホスト上)

- クライアント(IPv6 (Internet Protocol Version 6)プロトコル・ホスト上)

デュアルスタックでは、1つのオペレーティング・システムに2つのInternet Protocolソフトウェア実装(一方はIPv4用、他方はIPv6用)が存在します。

IPv6クライアントは、IPv4/IPv6デュアル・スタック上のリバース・プロキシを介してWebgate (10gまたは11g)にアクセスできます。

3.3.9 Oracle Access Manager構成で回避または注意すべき事項

この項には、Oracle Access Manager構成で注意する必要があるシナリオおよび項目が含まれています。

3.3.9.1 WLSTスクリプトでサポートされていない操作

Oracle Access Manager 10gおよびOracle Access Manager 11g Webゲート用のWLSTスクリプトでは、エージェントのセキュリティ・モードの変更をサポートしていません。

3.3.9.2 Oracle Access ManagerコンソールおよびWLSTでサポートされていない操作

Oracle Access ManagerコンソールおよびWLSTでサポートされていない操作を次のサブセクションに示します。

3.3.9.2.1

OAMサーバー

ユース・ケース: 同時に行われる削除と更新

説明

1. ブラウザ1でOAMサーバー・インスタンスを編集モードで開きます。

2. 別のブラウザ(ブラウザ2)でOracle Access Managerコンソールを使用するか、WLSTスクリプトを使用して、このサーバー・インスタンスを削除します。

3. ブラウザ1に戻ります(サーバー・インスタンスが編集モードで開いています)。

4. ブラウザ1で「適用」ボタンをクリックします。

現在の動作

Oracle Access Manager管理コンソールに、「サーバー・インスタンスserver_nameは使用中の可能性があります。編集しますか。」というメッセージとともに更新成功の確認が表示されます。

「はい」をクリックすると、予想どおりに次のメッセージが表示され、OAMサーバー・インスタンス・ページが閉じます(正しい動作)。

"Error while reading your_server-name OAM Server Instance Configuration."

ただし、ナビゲーション・ツリーの「リフレッシュ」コマンド・ボタンをクリックするまでナビゲーション・ツリー・ノードにOAMサーバー・インスタンスが表示され続ける可能性があります。

ユース・ケース: 同じホストを使用する2つのOAMサーバー・インスタンスに同じプロキシ・ポートを設定できない。

説明

このユース・ケースでは、oam_server1およびoam_server2というOAMサーバーの2つのインスタンスがあるとします。

1. 編集モードでoam_server1を開き、ホストおよびOAMプロキシ・ポートを指定します。

2. 次に、編集モードでoam_server2を開き、oam_server1と同じホストおよびプロキシ・ポートを指定します。

変更を保存してもエラー・メッセージは表示されません。

現在の動作

Oracle Access Managerコンソールはエラーを表示せず、この更新を許可します。

この動作は不正です。

ユース・ケース: サーバー・インスタンスの作成、更新および削除の詳細を含むログ文がOracle Access Managerコンソールに表示されない

説明

Oracle Access ManagerコンソールからOAMサーバー・インスタンスを作成、編集または削除した場合、作成、編集および削除に対応するログ文がコンソールによって表示されません。

3.3.9.2.2

LDAP認証モジュール:

ユース・ケース: ユーザー・アイデンティティ・ストアの同時削除/作成が、LDAP認証モジュールの作成および編集のアイデンティティ・ストア・リストに反映されない

説明

1. 作成/編集を行うためにLDAP認証モジュールを開きます。
リストに、システムに存在するアイデンティティ・ストアが表示されます。

2. 次に、別のタブを使用してユーザー・アイデンティティ・ストアを作成します。

3. LDAP認証モジュールの作成/編集タブに戻り、リストでユーザー・アイデンティティ・ストアを確認します。

現在の動作

Oracle Access Managerコンソールに予想どおりエラー・メッセージが表示され、認証モジュール・ページが閉じます(正しい動作)。

"Error while reading module-name Authentication Module Configuration."

ただし、ナビゲーション・ツリーの「リフレッシュ」コマンド・ボタンをクリックするまでナビゲーション・ツリー・ノードに認証モジュール・ノードが表示され続ける可能性があります。

3.3.9.2.3

LDAP、KerberosおよびX509認証モジュール

ユース・ケース: 同時に行われる削除と更新

説明

1. ブラウザ1でOracle Access Managerコンソールを使用して、LDAP/Kerberos/X509認証モジュールを編集モードで開きます。

2. 別のブラウザ(ブラウザ2)でOracle Access Managerコンソールを使用するか、WLSTスクリプトを使用して、この認証モジュールを削除します。

3. ブラウザ1に戻ります(認証モジュールが編集モードで開いています)。

4. 「適用」ボタンをクリックします。

現在の動作

Oracle Access Managerコンソールは、この認証モジュール構成を更新し、バックエンドに書き込みます。

この動作は不正です。

ユース・ケース: サーバー・インスタンスの作成、更新および削除の詳細を含むログ文がOracle Access Managerコンソール側に表示されない

説明

Oracle Access Managerコンソールから認証モジュールを作成、編集または削除した場合、作成、編集および削除に対応するログ文がコンソールによって書き込まれません。

3.3.9.2.4

OAM 11G Webゲート

ユース・ケース: 同時に行われる削除と更新

説明

1. ブラウザ1でOracle Access Managerコンソールを使用して、OAM 11g Webゲート・インスタンスを編集モードで開きます。

2. 別のブラウザ(ブラウザ2)でOracle Access Managerコンソールを使用するか、WLSTスクリプトを使用して、このOAM 11g Webゲートを削除します。

3. 次に、ブラウザ1に戻ります(サーバー・インスタンスが編集モードで開いています)。

4. 「適用」ボタンをクリックします。

現在の動作

OAM11g Webゲート編集用のOracle Access Managerコンソールは変化せず、タブは閉じません。

Oracle Access Managerコンソールによって、OAM11g Webゲートの構成が見つからないというエラー・ダイアログが表示されます。

ただし、ナビゲーション・ツリーは空白で、いずれかの操作を実行しようとすると、javax.faces.model.NoRowAvailableExceptionと表示されます。

この動作は不正です。

3.3.9.2.5

OSSOエージェント

ユース・ケース: 同時に行われる削除と更新

説明

1. ブラウザ1でOracle Access Managerコンソールを使用して、OSSOエージェント・インスタンスを編集モードで開きます。

2. 別のブラウザ(ブラウザ2)でOracle Access Managerコンソールを使用するか、WLSTスクリプトを使用して、このOSSOエージェントを削除します。

3. 次に、ブラウザ1に戻ります(OSSOエージェント・インスタンスが編集モードで開いています)。

4. 「適用」ボタンをクリックします。

現在の動作

Oracle Access ManagerコンソールでOSSOエージェントを編集すると、Nullポインタ例外が発生します。

この動作は不正です。

3.3.10 インストレーション・ガイドに集中ログアウトの構成手順が含まれていない

シングル・サインオンはOracle Access Managerのインストール後に有効になります。即時利用可能なシングル・サインオンの構成を完了するには、集中管理されたログアウトをインストール後に構成する必要があります。次の項の指示に従って、集中管理されたログアウトを構成してください。

- Oracle Access Manager 11gでのADFコード化されたアプリケーションの集中ログアウトの構成
ADFログアウトが正常に機能するには、シングル・サインオン・サーバーのパッチ9824531が必要です。パッチに含まれるreadmeファイルの説明に従って、このパッチをインストールします。

- 「IDMドメイン・エージェントの集中ログアウトの構成」(パッチ・セット内では、これは現在、IAMSuiteAgentです)

3.3.11 アップグレード時に管理サーバー・コンソールにNULLポインタ例外が表示される

アイデンティティ・ストアの停止時に、構成イベント・トリガーによりNullポインタ例外が発生します。アップグレードは成功しますが、管理サーバー・コンソールにエラー・メッセージが表示されます。サービスは失われません。

アップグレード中にNULLポインタが表示された場合、サービスは失われないため、このエラーを無視して構いません。

WLSTコマンドの実行中にNULLポインタが表示された場合は、管理サーバーを再起動する必要があります。

3.3.12 Oracle Access Manager 11gサーバーでのAccess SDKバージョン10.1.4.3.0の使用

一般的に、Sun Microsystems JDK 1.4.xコンパイラは、Access SDKバージョン10.1.4.3.0のJavaインタフェースで使用されるJDKバージョンです。

例外として、(Linuxオペレーティング・システム・プラットフォームの)64ビットAccess SDKバージョン10.1.4.3.0のJavaインタフェースでは、Sun Microsystems JDK 1.5.xコンパイラを使用する必要があります。

Oracle Access Manager 11gに含まれるセッション管理エンジンの新機能は、認証のためのAccess SDKバージョン10.1.4.3.0のコールごとに、セッションを作成します。

そのため、Access SDKを使用して自動のプロセスをプログラムで認証する場合には、問題が発生します。問題とは、Access SDK内で生成されたシステムのセッション数が劇的に増加して、大量のメモリー消費を引き起こすことです。

3.3.13 コンソールを使用したセッションの検索および削除

セッション検索基準が一般的なものである場合(たとえば、ワイルドカード(*)のみを使用する場合など)、大きなセッション・リストからセッションを削除する際に制限があります。

セッション検索基準を十分に細分化することによって比較的小さな結果セット(理想的には20以下)を取得することをお薦めします。

3.3.14 Kerberos認証スキームによって保護されているリソースに対するASCII以外のユーザー

ASCII以外のユーザーがチャレンジ・メソッドとしてWNAを使用してKerberos認証スキームで保護されているリソースにアクセスしようとすると、失敗します。

ユーザー詳細を取得してサブジェクトにユーザーDNおよびGUID属性を移入しようとすると、例外が発生します。

3.4 Oracleセキュリティ・トークン・サービスの問題および回避策

ここでは、次の内容について説明します。

- 3.4.1項「必要な詳細が省略されると警告が表示されない」

- 3.4.2項「新規リクエスタ・ページ、Internet Explorerバージョン7および日本語ロケール」

- 3.4.3項「表に行がないときに「削除」ボタンが無効でない」

- 3.4.4項「発行テンプレートをコピーしたときにすべての子要素がコピーされない」

- 3.4.5項「「適用」および「元に戻す」ボタンが有効である」

- 3.4.6項「Oracle WSMエージェントのログに一般フォルト・エラーのみが書き込まれる」

- 3.4.7項「サーバー・キー・タブ・ファイルとクライアント・キー・タブ・ファイルは同じバージョンである必要がある」

- 3.4.8項「WS-Securityに必要なデフォルトのパートナ・プロファイル」

- 3.4.9項「NameIDが見つからないときに発行されたSAMLトークン」

3.4.1 必要な詳細が省略されると警告が表示されない

次の特性がある新規検証テンプレートのトークン・マッピング・ページで:

- WS-Security

- トークン・タイプSAML 1.1

- デフォルト・パートナ・プロファイル: リクエスタ・プロファイル

警告が表示されません。

- 属性ベースのユーザー・マッピングを有効化するボックスを選択したときに必要な「ユーザー属性」フィールドを空のままにした場合
「ユーザー属性」フィールドが空である場合、新規行は保存されません。ただし、両フィールドが入力されている場合、これは保存されます。ユーザーが追加した行内の「ユーザー属性」フィールドの値を削除すると、変更を適用したときに行が削除されます。

- 組込みの名前識別子マッピング行を削除しようとした場合
名前識別子マッピング行は削除できません。

3.4.2 新規リクエスタ・ページ、Internet Explorerバージョン7および日本語ロケール

Internet Explorerバージョン7で日本語ロケールを使用する場合、新規リクエスタというタイトルがページの1行に表示されません。「パートナ」、「名前」、パートナ・タイプ、パートナ・プロファイルの各フィールドがページ上で折り返されない可能性があります。

これは、パートナ(リクエスタ、リライイング・パーティおよび発行局)を作成または変更しているかどうかとは関係なく発生します。

3.4.3 表に行がないときに「削除」ボタンが無効でない

次の表内に削除対象の行がなくても、「削除」ボタンが有効です。

- 属性名マッピング表(パートナ・プロファイル(リクエスタ、リライイング・パーティおよび発行局プロファイル)の「トークンおよび属性」ページ)。

- 発行局パートナ・プロファイルの値マッピング表

表内に行がない場合、「削除」ボタンはデフォルトでは無効である必要があります。

3.4.4 発行テンプレートをコピーしたときにすべての子要素がコピーされない

発行テンプレートの類似コピー機能では、ネストした表はコピーされません(属性マッピングおよびフィルタリング表、およびカスタムトークン属性表)。

回避策: 目的の発行テンプレートにナビゲートし、ナビゲーション・ツリー内の名前をクリックし、類似コピー・ボタンをクリックします。元の表(「属性マッピング」またはカスタム属性表)から不足情報を手動で入力します。

3.4.5 「適用」および「元に戻す」ボタンが有効である

適用すべき変更や前のバージョンに戻すべき保存済の変更がなくても、Oracleセキュリティ・トークン・サービスの各ページで「適用」および「元に戻す」ボタンが有効です。

3.4.6 Oracle WSMエージェントのログに一般フォルト・エラーのみが書き込まれる

Oracle WSMエージェントのエラーのログにコンテンツが書き込まれません。一般フォルト・エラーのみが存在します。

回避策: ホストOAMサーバーでOracle WSMエージェントのメッセージ・ロギングを有効にします。

1. $DOMAIN/config/fmwconfig/server/oam_server1/logging.xmlファイルを検索します。

2. logging.xmlファイルのWSMブロックを次のように変更します。

<logger name="oracle.wsm" level="TRACE:32" useParentHandlers="false">
<handler name="odl-handler"/>
</logger>

<logger name="oracle.wsm.msg.logging" level="TRACE:32"
useParentHandlers="false">
<handler name="owsm-message-handler"/>
<handler name="wls-domain"/>
</logger>

3. OSTSポリシー: Oracleセキュリティ・トークン・サービス・ポリシーが(Oracle提供のWSMポリシーのかわりに)使用されている場合、次の手順を実行します。

1. Oracle_IDM1/oam/server/policyを検索します。

2. sts-policies.jarを解凍します。

3. すべてのポリシーを変更してEnforcedをtrueに設定します: META-INF/polices/sts。

<oralgp:Logging orawsp:name="Log Message1" orawsp:Silent="true
orawsp:Enforced="true" orawsp:category="security/logging">
<oralgp:msg-log>
<oralgp:request>all</oralgp:request>
<oralgp:response>all</oralgp:response>
<oralgp:fault>all</oralgp:fault>
</oralgp:msg-log>
</oralgp:Logging>

4. 更新したsts-policies.jarを再度圧縮します。

5. 管理サーバーおよび管理対象サーバーを再起動します。

3.4.7 サーバー・キー・タブ・ファイルとクライアント・キー・タブ・ファイルは同じバージョンである必要がある

u18より上位のSun JDK6を使用してWebLogic 10.3.5が構成されている場合、Kerberosトークンの認証の例外が発生します。

Oracleセキュリティ・トークン・サービスからセキュリティ・トークンを要求する認証トークンとしてKerberosトークンを使用する場合:

- 検証テンプレートで構成されているキー・タブ・ファイルは常に、KDCサーバーの最新バージョンである必要があります。

- KVNOは常に、サーバー上で使用可能な最新のものである必要があります。

3.4.8 WS-Securityに必要なデフォルトのパートナ・プロファイル

『Oracle Access Managerアクセス管理ガイド』には、次の記述があります: 「トークン・プロトコルをWS-TrustからWS-Securityに切り替える場合、「トークン・タイプ」リスト内のオプションは変更されません。ただし、必要なデフォルト・パートナ・プロファイル・リストが表示され、ここからWS-Securityのプロファイルの1つを選択する必要があります。」

修正: トークン・プロトコルをWS-TrustからWS-Securityに切り替えると、必須フィールドのデフォルト・パートナ・プロファイルが表示されます。このフィールドの値を選択する必要があります。このフィールドの値を選択せずにWS-Trustに戻すと、「トークン・タイプ」リスト内のオプションが正しく更新されず、WS-Trustのトークン・タイプ値が設定されません。

3.4.9 NameIDが見つからないときに発行されたSAMLトークン

NameIdentifierユーザー属性の値がnullまたは空であっても、エラー・メッセージが戻されるのではなく、「NameIdentifier」フィールドが空の状態で発行されたアサーションを発行できます。次に例を示します。

<saml:NameIdentifier
Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"/>

回避策: 発行テンプレート内の「名前識別子ユーザー属性」フィールドにはユーザー・ストアの値が必要です。

3.5 統合および相互運用性の問題および回避策

ここでは、次の内容について説明します。

- 3.5.1項「WNA認証がWindows 2008上で機能しない」

- 3.5.2項「httponlyとマークされたCookieをJVMプラグインが無視する」

3.5.1 WNA認証がWindows 2008上で機能しない

Windows 2008サーバーおよびWindows 2007マシンでサポートされているデフォルトのKerberos暗号化は、AES256-CTS-HMAC-SHA1-96、AES128-CTS-HMAC-SHA1-96およびRC4-HMACです。

クライアントがDESのみの暗号化を使用するように構成されている場合、ユーザーはKerberos認証を使用して保護されているリソースにアクセスできません。エラー・メッセージAn incorrect username and password was specifiedが表示されます。

初期のKerberosトークンが存在しないため、ブラウザはOAMサーバーでは認識されないNTLMトークンを送信します。このため、ユーザー認証が失敗します。

回避策として、暗号化メカニズムを有効化し、次に記述されている手順に従います:

http://technet.microsoft.com/en-us/library/dd560670%28WS.10%29.aspx

3.5.2 httponlyとマークされたCookieをJVMプラグインが無視する

ブラウザ側スクリプトまたはJavaアプレットでは、httponlyフラグを使用して設定されたCookieを使用することはできません。JVMプラグインは、httponlyとマークされたCookieは無視します。

この問題を解決するには、次の手順に従います。

1. mod_sso.confで、OssoHTTPOnly offパラメータを無効にします。

2. 認証のために渡す使用可能なアプレット・パラメータのリストに必要なOSSO Cookieを追加します。

3.6 偽装に関するOracle Access Managerの回避策

ここでは、次の内容について説明します。

- 3.6.1項「Internet Explorerのバージョン7、8、9で偽装が失敗する」

- 3.6.2項「Oracle Access Manager 11gのORA_FUSION_PREFS Cookieドメインのドットが3つである」

3.6.1 Internet Explorerのバージョン7、8、9で偽装が失敗する

Internet Explorerブラウザの制限により、偽装先のユーザーIDにASCII以外の文字が含まれるときに偽装が失敗して「承諾」ページに移動できない場合があります。

ブラウザ内で偽装を開始するURLを直接入力したり貼り付けると、かわりにfailure_urlに移動します。

3.6.2 Oracle Access Manager 11gのORA_FUSION_PREFS Cookieドメインのドットが3つである

Oracle Access Manager 10gでは、ORA_FUSION_PREFS Cookieドメインには次の形式(2つのドット)が使用されていました。

10g Form .example.com

しかし、Oracle Access Manager 11gでローカライズされたログインでは、ORA_FUSION_PREFS Cookieドメインに対して次の形式(3つのドット)のみが受け入れられます。

11g Form .us.example.com

たとえば、ホスト名がruby.us.example.comである場合、Oracle Access Manager 11gは、ドメイン名.us.example.comを使用してCookieを作成します。

しかし、アプリケーション・セッションは、ドメイン名.example.comを使用してCookieを作成するため、このCookieを使用するアプリケーションとFusion Middlewareの間で相互運用性に関する問題が発生します。

回避策: 次の例に示すように、11gの要件に応じてFACookieDomainパラメータを更新し、oam-config.xml内のVersion xsd:integerを増分します。

1. DOMAIN_HOME/config/fmwconfig/oam-config.xmlをバックアップします。

2. 編集するためにファイルを開き、変更には細心の注意を払ってください。

3. FACookieDomainを自分のドメインに設定します(3つのドット区切りを使用)。

<Setting Name="FAAppsConfig" Type="htf:map">
<Setting Name="FACookieDomain" Type="xsd:string">.us.example.com</Setting>
<Setting Name="FAAuthnLevel" Type="xsd:integer">2</Setting>
<Setting Name="consentPage" Type="xsd:string">/oam/pages/impconsent.jsp
</Setting>
</Setting>

4. 構成バージョン: 次に示すように、Version xsd:integerをこの例の最終行の値まで増分します(既存の値(ここでは26) + 1)。
例:

<Setting Name="Version" Type="xsd:integer">
<Setting xmlns="http://www.w3.org/2001/XMLSchema"
Name="NGAMConfiguration" Type="htf:map:>
<Setting Name="ProductRelease" Type="xsd:string">11.1.1.3</Setting>
<Setting Name="Version" Type="xsd:integer">26</Setting>
</Setting>

5. oam-config.xmlを保存します。

3.7 ドキュメントの訂正箇所

この項では、次のガイドに関するドキュメントの訂正箇所を示します。

- 3.7.1項『Oracle Fusion Middleware Oracle Access Manager with Oracle Security Token Service管理者ガイド』

- 3.7.2項『Oracle Fusion Middleware Oracle Access ManagerおよびOracle Security Token Service開発者ガイド』

- 3.7.3項『Oracle Fusion Middleware Oracle Access Manager統合ガイド』

3.7.1 『Oracle Fusion Middleware Oracle Access Manager with Oracle Security Token Service管理者ガイド』

このガイドにはドキュメントの訂正箇所はありません。

3.7.2 Oracle Fusion Middleware Oracle Access ManagerおよびOracle Security Token Service開発者ガイド

このガイドにはドキュメントの訂正箇所はありません。

3.7.3 Oracle Fusion Middleware Oracle Access Manager統合ガイド

この項には、『Oracle Fusion Middleware Oracle Access Manager統合ガイド』(原本部品番号E15740-04)にのみに適用される訂正箇所が含まれます。

このガイドには次のドキュメントの訂正箇所が含まれています。

- 3.7.3.1項「OAM-OIM統合の前提条件の更新」

- 3.7.3.2項「configOIMコマンドのプロパティ」

- 3.7.3.3項「OIF/SPの統合の更新された例」

3.7.3.1 OAM-OIM統合の前提条件の更新

『Oracle Fusion Middleware Oracle Access Manager統合ガイド』(原本部品番号E15740-04)の第5章「Oracle Access ManagerとOracle Identity Managerの統合」5.2項「前提条件」の手順8aでは、Oracle Identity Managerが実行しているドメインでLDAP同期(LDAP sync)の構成を準備するように指示しています。

手順8aでは、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』(原本部品番号E12002-09)の14.8.5項「LDAP同期を有効にするための前提条件の完了」を参照するように指示しています。この項のいくつかの手順(OIMユーザーおよびグループの作成など)はすでに完了しているため、混乱が生じる可能性があります。

このかわりに、手順8aで、『Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイド』の14.8.5.2項「Oracle Virtual Directoryのアダプタの作成」を参照するように指示して、Oracle Internet Directoryに対するOracle Virtual Directoryアダプタを構成できるようにします。

さらに、5.2項「前提条件」の手順8cでは、Oracle Identity Managerが実行しているドメインでLDAP同期(LDAP sync)を構成する構成ウィザードを実行するように指示しています。この手順は、LDAP同期が有効でない状態でOracle Identity Managerがインストールされた場合には動作しません。

このかわりに、手順8cで、『Oracle Fusion Middleware Oracle Identity Managerシステム管理者ガイド』(原本部品番号E14308-08)の10.1項「インストール後のLDAP同期の有効化」で、インストール後のLDAP同期を有効化する正しい手順を参照するように指示する必要があります。

3.7.3.2 configOIMコマンドのプロパティ

5.4項「Oracle Identity Managerでの統合タスクの実行」に、手順3の-configOIMコマンドの実行時にプロパティ・ファイルに指定されるすべてのプロパティの定義が提供されていません。

次のプロパティ定義を使用して、プロシージャのプロパティ・ファイルの構成に役立ててください。

表3-1 configOIMコマンドのプロパティ

プロパティ

定義

LOGINURI

OPSSによって必要とされるURI。デフォルト値は/${app.context}/adfAuthentication

LOGOUTURI

OPSSによって必要とされるURI。デフォルト値は/oamsso/logout.html

AUTOLOGINURI

OPSSによって必要とされるURI。デフォルト値は/obrar.cgi

ACCESS_SERVER_HOST

Oracle Access Managerホスト名。

ACCESS_SERVER_PORT

Oracle Access Manager NAPポート。

ACCESS_GATE_ID

OIMが通信する必要のあるOAMアクセス・ゲートID。

OIM_MANAGED_SERVER_NAME

Oracle Identity Manager管理対象サーバーの名前。クラスタの場合、管理対象サーバーを指定できます。

COOKIE_DOMAIN

OIMアプリケーションが存在するWebドメイン。.cc.example.comの形式でドメインを指定します。

COOKIE_EXPIRY_INTERVAL

Cookieの有効期限。-1に設定します。

OAM_TRANSFER_MODE

アクセス・サーバーが機能するセキュリティ・モデル。選択肢はOPENとSIMPLEです。

WEBGATE_TYPE

作成するWebGateエージェントのタイプ。ドメイン・エージェントを使用する場合はjavaWebgateに設定し、10g Webゲートを使用する場合はohsWebgate10gに設定します。

SSO_ENABLED_FLAG

SSOが有効かどうかを判断するフラグ。trueまたはfalseに設定します。

IDSTORE_PORT

アイデンティティ・ストアのポート番号(IDSTORE_DIRECTORYTYPEに対応)。

IDSTORE_HOST

アイデンティティ・ストアのホスト名(IDSTORE_DIRECTORYTYPEに対応)。

IDSTORE_DIRECTORYTYPE

オーセンティケータが作成される必要のあるディレクトリのタイプ。Oracle Internet Directoryの場合はOID、その他のすべてのディレクトリの場合はOVD。

IDSTORE_ADMIN_USER

管理者権限のあるユーザー。エントリにはユーザーの完全なLDAP DNを含める必要があります。

IDSTORE_USERSEARCHBASE

ユーザーが保存されるディレクトリの場所。

IDSTORE_GROUPSEARCHBASE

グループが保存されるディレクトリの場所

MDS_DB_URL

MDSデータベースのURL。

MDS_DB_SCHEMA_USERNAME

MDSデータベースのスキーマ名。

WLSHOST

WebLogicサーバーのホスト名。

WLSPORT

WebLogicサーバーのポート番号。

WLSADMIN

WebLogicサーバーの管理者。

DOMAIN_NAME

Oracle Identity Managerドメイン名。

DOMAIN_LOCATION

Oracle Identity Managerドメインの場所。

3.7.3.3 OIF/SPの統合の更新された例

4.3項「SPモードでのOracle Identity Federationの統合」のサブセクション4.3.2「Oracle Identity Federationへの委任認証」の手順7cでは、oam-config.xml構成ファイルのOIFDAPパートナ・ブロックを更新する方法の例に誤りがあります。正しい例を次に示します。

registerOIFDAPPartner(keystoreLocation="/scratch/keystore",
logoutURL="http(s)://oifhost:oifport/fed/user/splooam11g?doneURL=
http(s)://oamhost:oamport/oam/server/pages/logout.jsp", rolloverTime="500")

oifhostとoifportは、それぞれOracle Identity Federationサーバーのホストとポートを参照し、oamhostとoamportは、それぞれOracle Access Managerサーバーのホストとポートを参照しています。

4 Oracle Entitlements Server

この章では、Oracle Entitlements Serverに関連する問題について説明します。次の項目が含まれます。

- 4.1項「一般的な問題および回避策」

- 4.2項「構成の問題および回避策」

- 4.3項「ドキュメントの訂正箇所」

4.1 一般的な問題および回避策

この項では、一般的な問題および回避策について説明します。次のトピックが含まれます:

- Oracle Internet Directoryポリシー・ストアでのバックスラッシュの使用

- Oracle Databaseポリシー・ストアのパフォーマンス・チューニング

- Internet Explorer 7の使用時にアクション・バーが消える

- 再作成されたアプリケーションが制御モードで配布されない場合がある

- 新しく追加した監査イベントをEnterprise Managerが取得しない

- 認可リクエストに渡された属性が大/小文字を区別して処理される

- 監査スキーマ定義が不完全である

- IPv6クライアント上のJavaセキュリティ・モジュールがWindowsでサポートされない

- Windows IPv6ホストでのWebLogicセキュリティ・モジュールのポリシー配布構成に関する問題

- カスタム機能の属性名の検証

4.1.1 Oracle Internet Directoryポリシー・ストアでのバックスラッシュの使用

ポリシー・オブジェクト名にバックスラッシュ(\)が使用されており、バックスラッシュの後ろにポンド記号(#)または2つの16進数文字([a-fA-f_0-9][a-fA-f_0-9])がある場合、オブジェクトの検索が予想どおりに機能しない場合があります。この問題が発生するのは、リソース・タイプ、リソース名またはアクション別の権限セットの問合せの失敗の原因となる値がリソース・タイプ名、リソース名またはアクション・アソシエーションのいずれかに含まれる場合です。

回避策:

ポリシー・オブジェクト名にこれらの値を使用しないようにしてください。

4.1.2 Oracle Databaseポリシー・ストアのパフォーマンス・チューニング

Oracle dbms_statsパッケージを使用して、Oracle Databaseポリシー・ストアでのデータ移行パフォーマンスを向上させることができます。実行する正確なSQLコマンドは、次のとおりです。

*EXEC DBMS_STATS.gather_schema_stats
('DEV_OPSS',DBMS_STATS.AUTO_SAMPLE_SIZE,no_invalidate=>FALSE);*

DEV_OPSSは、データベース・ポリシー・ストアに使用されるスキーマ所有者です。他の2つのパラメータも、この例のように使用できます。

回避策:

このDBMS_STATSコールは、次のオプションのいずれかを使用して定期的に実行できます。

- DBMS_JOBを使用します。

1. 次のコードをSQLスクリプトにコピーして貼り付けます。
この例では、ジョブは10分ごとに実行されます。

variable jobno number;
BEGIN
DBMS_JOB.submit
(job => :jobno,
what =>
'DBMS_STATS.gather_schema_stats(''DEV_OPSS'',DBMS_STATS.AUTO_SAMPLE_SIZE,
no_invalidate=>FALSE);',
interval => 'SYSDATE+(10/24/60)');
COMMIT;
END;
/
#end of sql script

2. スキーマ所有者としてsqlplusにログインします。たとえば、sys_userではなく'DEV_OPSS'としてログインします。

3. SQLスクリプトを実行します。
実行したスクリプトからジョブIDを検索するには、次を実行します。

sqlplus '/as sysdba'
SELECT job FROM dba_jobs WHERE schema_user = 'DEV_OPSS' AND what =
'DBMS_STATS.gather_schema_stats(''DEV_OPSS'',DBMS_STATS.AUTO_SAMPLE_SIZE,
no_invalidate=>FALSE);';

ジョブを削除するには、スキーマ所有者(たとえば、sys_userではなく'DEV_OPSS')としてsqlplusにログインし、次のSQLコマンドを実行します。

EXEC DBMS_JOB.remove(27);

- cronジョブまたはシェル・スクリプトを使用して、SQLコマンドを実行します。

# run dbms_stats periodically
./runopssstats.sh
# runopssstats.sh content is below:
# In this example, we will execute the command in every 10 minutes
#!/bin/sh

i=1
while [ $i -le 1000 ]
do
echo $i
sqlplus dev_opss/welcome1@inst1 @opssstats.sql
sleep 600
i=`expr $i + 1`
done
# end of sh

# opssstats.sql
EXEC DBMS_STATS.gather_schema_stats('DEV_OPSS',
DBMS_STATS.AUTO_SAMPLE_SIZE,no_invalidate=>FALSE);
QUIT;
# end of sql

4.1.3 Internet Explorer 7の使用時にアクション・バーが消える

Internet Explorer 7を使用している場合、「システム構成」→「システム管理者」の下にある「管理者ロール」からロールまたはユーザーを選択すると、アクション・バーが消え、外部ロール・マッピングおよび外部ユーザー・マッピングを削除できなくなります。

回避策:

この問題は、Internet Explorer 7に固有です。Firefox 3を使用してください。

4.1.4 再作成されたアプリケーションが制御モードで配布されない場合がある

場合によっては、PDPサービスが制御モードで実行されているときに、1つのアプリケーション・オブジェクトがポリシー・ストアから削除された後に同じ名前を使用して再作成されると、変更がPDPサービスに配布されない可能性があります。これは、ローカル・キャッシュ内のアプリケーションのバージョンがポリシー・ストア内のアプリケーションのバージョンより高いことが原因です。

回避策:

PDPサービスのローカル・キャッシュ・ファイルを削除し、PDPサービス・インスタンスを再起動してください。oracle.security.jps.runtime.pd.client.localpolicy.work_folder構成パラメータによってキャッシュへのパスが定義されます。デフォルト値は<SM_INSTANCE>/config/work/です。

4.1.5 新しく追加した監査イベントをEnterprise Managerが取得しない

component_events.xmlは、構成ツール(Enterprise ManagerやWebLogic Scripting Toolなど)と監査ランタイムおよびデータベース・ローダーによって使用される監査イベント定義ファイルです。「Low/Medium」リストに新しく追加されたすべてのイベントがEnterprise Managerによって取得されるようにするには、component_events.xmlファイルを変更する必要があります。

回避策:

1. Enterprise Managerからログアウトします。

2. component_events.xmlファイルを開きます。
このファイルは$IDM_OPSS_ORACLE_HOME/modules/oracle.iau_11.1.1/components/JPS/ディレクトリ内にあります。

3. <FilterPresetDefinition name="Low">を検索します。

4. イベント・リスト内で、purgeDistributionStatusをPurgeDistributionStatusに変更します。
大文字に注意してください。

5. <FilterPresetDefinition name="Medium">を検索します。

6. イベント・リスト内で、purgeDistributionStatusをPurgeDistributionStatusに変更します。
大文字に注意してください。

7. ファイルを保存して閉じます。

8. Enterprise Managerを起動します。

4.1.6 認可リクエストに渡された属性が大/小文字を区別して処理される

渡された属性のPEP API名を使用する場合、これらの大/小文字の区別は、ポリシーに記載されているものと同じである必要があります。

4.1.7 監査スキーマ定義が不完全である

IAUOES監査スキーマはOracle Entitlements Serverのイベント定義と同期化されていないため、このコンポーネントに必要な列は含まれていません。このため、データを適切な列に保存できず、Oracle Entitlements Serverデータに対して監査レポートを実行できません。

回避策 - オプション1

RCUが実行されていない場合、このオプションを使用します。手順は次のとおりです。

1. 次の場所にあるJPS.sqlを検索します。

$RCU_HOME/rcu/integration/iauoes/scripts/JPS.sql

ファイル権限を変更し、ファイルを書込み可能にします。

2. 次のファイルをコピーします:

$IDM_OPSS_ORACLE_HOME/modules/oracle.iau_11.1.1/sql/scripts/JPS.sql

コピー先:

$RCU_HOME/rcu/integration/iauoes/scripts/JPS.sql

3. RCUを実行してIAUOESスキーマを作成します。

回避策 - オプション2

RCUがすでに実行されている場合、このオプションを使用します。手順は次のとおりです。

1. 次のファイルをコピーします:

$IDM_OPSS_ORACLE_HOME/modules/oracle.iau_11.1.1/sql/scripts/JPS.sql

sqlplusの実行元のディレクトリにコピーします。

2. sysdbaとしてsqlplusに接続します。

3. 次のコマンドをSQLプロンプトで実行します。

1. alter session set current_schema=audit_schema_user

2. drop table JPS;

3. @@JPS.sql audit_schema_user audit_schema_user_Append
audit_schema_user_Viewer;

4.1.8 IPv6クライアント上のJavaセキュリティ・モジュールがWindowsでサポートされない

JDK 1.6の問題が原因で、Windows IPv6クライアントを使用している場合、Javaセキュリティ・モジュールはサポートされません。現在、JDK開発チームと協力して解決に当たっています。

4.1.9 Windows IPv6ホストでのWebLogicセキュリティ・モジュールのポリシー配布構成に関する問題

一部のWindows IPv6ホストで、ポリシー配布URLが正しく生成されない場合があります。特に、jps-config.xmlでは、次の行が表示される場合があります。

@ <property value="https://127.0.0.1:8002/pd-client"
name="oracle.security.jps.runtime.pd.client.DistributionServiceURL"/>

回避策:

jps-config.xml(<domain_home>/config/oeswlssmconfig/内)を編集し、正しいポリシー配布クライアントURLが含まれるようにします。次の例では、<WLS-SM-client-host>は、WebLogic Serverセキュリティ・モジュールが実行されているホスト名です。<Pd-client-port>は、クライアントがポリシー配布をリスニングしているポートです。

@ <property value="https://<WLS-SM-client-host>:<Pd-client-port>/pd-client"
name="oracle.security.jps.runtime.pd.client.DistributionServiceURL"/>

4.1.10 カスタム機能の属性名の検証

カスタム機能実装を使用しているときに属性名が無効である場合、認可リクエストの結果が間違っている可能性があります。このため、属性名の値を取得する前に属性名を検証する必要があります。

回避策:

カスタム機能実装で次のコードを使用して属性名を検証します。

boolean isValidAttributeName(String name) {
if (name == null) return false;
return name.matches("[A-Za-z_][A-Za-z0-9_]*");
}

4.2 構成の問題および回避策

この時点で構成の問題はありません。

4.3 ドキュメントの訂正箇所

この時点でドキュメントの訂正箇所はありません。

5 Oracle Identity Federation

この章では、Oracle Identity Federationに関連する問題について説明します。次の項目が含まれます。

- 5.1項「一般的な問題および回避策」

- 5.2項「構成の問題および回避策」

- 5.3項「ドキュメントの訂正箇所」

5.1 一般的な問題および回避策

この項では、一般的な問題および回避策について説明します。次の項目が含まれます。

- 5.1.1項「認証エンジン用データベース表はbase64形式である必要がある」

- 5.1.2項「SSLモードのOracle Identity Federation HAに関する考慮事項」

- 5.1.3項「IDPPROVIDEDNAMEIDVALUEでデータベース列が短すぎるエラー」

5.1.1 認証エンジン用データベース表はbase64形式である必要がある

データベース表を認証エンジンとして使用し、パスワードがMD5またはSHAのいずれかでハッシュされて格納されている場合、base64形式である必要があります。

ハッシュされたパスワードはbase64でエンコードされた形式であるか、{SHA}または{MD5}の接頭辞を持ちます。次に例を示します。

{SHA}qUqP5cyxm6YcTAhz05Hph5gvu9M=

5.1.2 SSLモードのOracle Identity Federation HAに関する考慮事項

相互にミラー化されている2つ以上のOracle Identity Federationサーバーがあり、フロントエンドにロード・バランサがある高可用性環境でSSLを設定する場合、次の2つの方法があります。

- SSL接続がユーザーとロード・バランサの間をつなぐように、ロード・バランサでSSLを構成します。この場合、ロード・バランサによって使用されるキーストアおよび証明書には、ロード・バランサのアドレスを参照するCNが含まれます。
ロード・バランサとWLS/Oracle Identity Federation間の通信では、SSLの使用は任意です(SSLを使用する場合、Oracle WebLogic Serverでは、キーストアおよび証明書がロード・バランサによって信頼されているかぎり、どのキーストアや証明書でも使用できます)。

- Oracle Identity FederationサーバーでSSLが構成されているため、SSL接続はユーザーとOracle Identity Federationサーバー間のものです。この場合、ユーザーがロード・バランサのホスト名を使用して接続するため、Oracle WebLogic Server/Oracle Identity Federationのキーストアおよび証明書のCNはロード・バランサのアドレスを参照する必要があり、証明書CNがロード・バランサのアドレスと一致している必要があります。
つまり、ユーザーに接続されるSSLエンドポイント(ロード・バランサまたはOracle WebLogic Server/Oracle Identity Federation)のキーストアおよび証明書には、ロード・バランサのホスト名に設定されたCNが含まれる必要があります。ユーザーは、そのアドレスを使用してOracle Identity Federationに接続するためです。

5.1.3 IDPPROVIDEDNAMEIDVALUEでデータベース列が短すぎるエラー

問題

セッションおよびメッセージ・データ・ストアにデータベース・ストアを使用するようOracle Identity Federationが構成されている場合、IDPPROVIDEDNAMEIDが200文字より長いと、次のエラーが表示されます。

ORA-12899: value too large for column
"WDO_OIF"."ORAFEDTMPPROVIDERFED"."IDPPROVIDEDNAMEIDVALUE" (actual: 240,
maximum: 200)\n]

回避策

表ORAFEDTMPPROVIDERFEDを変更してidpProvidedNameIDValueの列サイズを240に上げてください。

5.2 構成の問題および回避策

この項では、構成に関する問題およびその回避策について説明します。次の項目が含まれます。

- 5.2.1項「SOAとOIFが同じドメインにある場合のWLST環境変数」

- 5.2.2項「Oracle Virtual DirectoryにはLSAアダプタが必要」

- 5.2.3項「リモートWSフェデレーションSPの設定は動的に変更される必要がある」

- 5.2.4項「WSフェデレーションの信頼できるサービス・プロバイダの作成時に必要なプロパティ」

- 5.2.5項「レコードの削除後フェデレーテッド・アイデンティティ表がリフレッシュされない」

- 5.2.6項「デフォルト認証スキームが保存されない」

- 5.2.7項「アーティファクト・プロファイルを使用して10gと11gのOracle Identity Federationが連携するよう構成」

- 5.2.8項「OAM 11gの鍵の再生成にOracle Identity Federationアップグレード・スクリプトが必要」

5.2.1 SOAとOIFが同じドメインにある場合のWLST環境変数

サイトで同じドメインにOracle SOA SuiteとOracle Identity Federationが含まれている場合、『Oracle Fusion Middleware Administrator's Guide for Oracle Identity Federation』のWLSTの設定手順は、WLSTでOracle Identity Federationコマンドを正常に実行するには不十分です。

このような事態になる可能性があるのは、IdMドメインをインストールしてからOracle SOAインストールを使用してこれを拡張した場合です。この場合、SOAインストーラによりORACLE_HOME環境変数が変更されます。これにより、Oracle Identity FederationのWLST環境が破損します。これは、この環境がORACLE_HOMEのIdM値に依存しているためです。

WLSTコマンドを使用できるようにするには、次の手順に従います。

1. 『Oracle Fusion Middleware Administrator's Guide for Oracle Identity Federation』のWLST環境の設定に関する項に記載されている手順を実行します。

2. OIF-ORACLE_HOME/fed/script/*.pyをWL_HOME/common/wlstへコピーします。

3. CLASSPATH環境変数をOIF-ORACLE_HOME/fed/scriptsに追加します。

5.2.2 Oracle Virtual DirectoryにはLSAアダプタが必要

Oracle Virtual DirectoryをOracle Identity Federationのユーザー・ストアまたは認証エンジンとして使用するには、ローカル・ストレージ・アダプタを構成し、インストール時またはインストール後の構成時に必要に応じてコンテキスト・ルートを作成する必要があります。

このタスクの詳細は、『Oracle Fusion Middleware Oracle Virtual Directory管理者ガイド』の「Oracle Virtual Directoryアダプタの作成と構成」を参照してください。

5.2.3 リモートWSフェデレーションSPの設定は動的に変更される必要がある

「フェデレーションの編集」ページで、リモートWS-Fedサービス・プロバイダのOracle Identity Federation (OIF)設定には、「SSOトークン・タイプ」と呼ばれるプロパティが含まれます。「IdP共通設定」ページから値を継承することも、これをここでオーバーライドすることもできます。OIF設定に表示されているプロパティの数は、「SSOトークン・タイプ」の値によって異なります。

「SSOトークン・タイプ」を別の値でオーバーライドする(SAML2.0からSAML1.1へ変更するなど)よう選択した場合、「OIFの設定」に表示されるプロパティの数は、「適用」ボタンをクリックするまで変わりません。

また、「デフォルト名前IDフォーマット」の値を永続識別子または一時/単発識別子にオーバーライドして「SSOトークン・タイプ」の値をSAML2.0からSAML1.1またはSAML1.0に変更した場合、「デフォルト名前IDフォーマット」の値が空になることに注意してください。続行するには、このプロパティをリストの有効な値に再設定します。

5.2.4 WSフェデレーションの信頼できるサービス・プロバイダの作成時に必要なプロパティ

WSフェデレーションの信頼できるサービス・プロバイダを作成する場合、次の手順で「Microsoft Webブラウザ・フェデレーテッド・サインオンの使用」に値を設定する必要があります。

1. Fusion Middleware Controlで、「フェデレーション」→「フェデレーションの編集」と移動します。

2. WSフェデレーションの信頼できるサービス・プロバイダを新規に作成するよう選択し、「編集」をクリックします。

3. 「信頼できるプロバイダ設定」セクションでチェック・ボックスを選択または選択解除して「Microsoft Webブラウザ・フェデレーテッド・サインオンの使用」に値を設定します。

4. 「適用」をクリックします。

5.2.5 レコードの削除後フェデレーテッド・アイデンティティ表がリフレッシュされない

フェデレーション・ストアがXMLベースの場合、レコードの削除後、そのレコードがフェデレーテッド・アイデンティティ表に表示され続けます。

次のシナリオで問題について説明します。

1. フェデレーション・データ・ストアはXMLです。

2. 「フェデレーテッド・アイデンティティによるユーザーのマップ」を使用してフェデレーテッドSSOを実行します。

3. Fusion Middleware ControlでOracle Identity Federationインスタンスを特定し、「管理」→「アイデンティティ」→「フェデレーテッド・アイデンティティ」と移動します。

4. 作成されたフェデレーション・レコードをクリックし、削除します。

削除後も、フェデレーテッド・レコードが表にあります。レコードの削除をさらに試みると、エラーになります。

回避策は、「検索」をクリックして表を手動でリフレッシュすることです。

5.2.6 デフォルト認証スキームが保存されない

問題

この問題は、Fusion Middleware ControlでOracle Access Managerをサービス・プロバイダ統合モジュールとして構成した場合に起こります。スキーム(OIF-password-protectedなど)にデフォルトが設定されていますが、ラジオ・ボタンが無効なため、デフォルト認証スキームを設定できません。

解決策

優先使用するデフォルトの認証スキームを設定するには、次の手順に従います。

1. 現在デフォルトとして設定されているが、無効なスキームの「作成」チェック・ボックスを選択します。

2. 作成する認証スキームの「作成」チェック・ボックスを選択します。

3. デフォルトとして設定するスキームのラジオ・ボタンをクリックします。

4. スキームを作成しない場合のみステップ1のスキームの「作成」チェック・ボックスを選択解除します。

5. ページで、すべての必要なプロパティを指定します。

6. 「Oracle Access Managerの構成」ボタンをクリックして変更を適用します。

これで、デフォルト認証スキームが選択したものに設定されました。

注意:

また、認証スキームを削除する場合、デフォルト・スキームを削除しないようにしてください。スキームを削除する必要がある場合、削除前にデフォルトを別の認証スキームに変更します。

5.2.7 アーティファクト・プロファイルを使用して10gと11gのOracle Identity Federationが連携するよう構成

SAML 1.xプロトコルで、アーティファクト・プロファイルを使用して10g Oracle Identity Federationサーバーと11g Oracle Identity Federationサーバーを連携させるには、2つのサーバーの間にBasic認証またはクライアント証明書認証を設定する必要があります。

手順は次を参照してください。

- 11gリリース1 (11.1.1)の『Oracle Fusion Middleware Administrator's Guide for Oracle Identity Federation』のSOAPエンドポイントの保護に関する項

- 10g (10.1.4.0.1)の『Oracle Identity Federation管理者ガイド』のOracle Identity FederationがSPである場合に関する項

5.2.8 OAM 11gの鍵の再生成にOracle Identity Federationアップグレード・スクリプトが必要

Oracle Enterprise Manager Fusion Middleware Controlでは、Oracle Access Manager 11gのSP統合モジュールを構成する場合、「再生成」ボタン(「サービス・プロバイダ統合モジュール」ページ、「Oracle Access Manager 11g」タブ)をクリックして秘密鍵を再生成できます。

アップグレードされた11.1.1.7.0環境では、OAM 11gの秘密鍵をこのページで再生成する前にOracle Identity Federationアップグレード・スクリプトを実行する必要があります。このスクリプトの実行方法の詳細は、『Oracle Fusion Middlewareパッチ適用ガイド』を参照してください。

5.3 ドキュメントの訂正箇所

この項では、『Oracle Fusion Middleware Oracle Identity Federation管理者ガイド』の訂正箇所を示します。この時点で訂正箇所はありません。

注意:

Oracle Identity FederationとOracle Access Manager 11gの統合に関するドキュメントの訂正箇所および他のリリース・ノートは、「Oracle Access Manager」を参照してください。

6 Oracle Identity Manager

この章では、Oracle Identity Managerに関連する問題について説明します。次の項目が含まれます。

- 6.1項「パッチ要件」

- 6.2項「一般的な問題と回避策」

- 6.3項「構成に関する問題と回避策」

- 6.4項「多言語サポートの問題および制限」

- 6.5項「ドキュメントの訂正箇所」

6.1 パッチ要件

この項では、Oracle Identity Manager 11g リリース1 (11.1.1)のパッチ要件について説明します。内容は次のとおりです。

- My Oracle Support(旧OracleMetaLink)からのパッチの取得

- Oracle Database 11g (11.1.0.7)のパッチ要件

- Oracle Database 11g (11.2.0.2.0)のパッチ要件

- 職務の分離(SoD)のパッチ要件

- パッチ・アップグレード要件

6.1.1 My Oracle Support(旧OracleMetaLink)からのパッチの取得

My Oracle Support(旧OracleMetaLink)からパッチを入手するには、次のURLに移動し、「パッチと更新版」をクリックしてパッチ番号を検索してください。

https://support.oracle.com/

6.1.2 Oracle Database 11g (11.1.0.7)のパッチ要件

表6-1に、Oracle Database 11g (11.1.0.7)を使用するOracle Identity Manager 11gリリース1 (11.1.1)の構成に必要なパッチをリストします。Oracle Identity Manager 11gを構成する前に、Oracle Database 11g (11.1.0.7)データベースに必ずパッチを適用してください。

表6-1 Oracle Database 11g (11.1.0.7)に必要なパッチ

プラットフォーム

My Oracle Supportでのパッチ番号および説明

UNIX/Linux

7614692: 保存例外を伴うバルク機能はORACLE 11Gでは機能しません

7000281: 11GにおけるFORALL文の動作の違い

8327137: インライン・ビューおよび集計機能の結果が不正です

8617824: Oracle Bug#7628358および7598314に対する11.1.0.7の最上位でのマージ・ラベル・リクエスト

Windows 32ビット

8689191: Windows 32ビットでのORACLE 11G 11.1.0.7パッチ16のバグ

Windows 64ビット

8689199: WINDOWS (64ビットAMD64およびINTEL EM64T)でのORACLE 11G 11.1.0.7パッチ16のバグ

注意:

表6-1に示すUNIX/Linux用のパッチは、同じ名前でSolaris SPARC 64ビットにも使用できます。

6.1.3 Oracle Database 11g (11.2.0.2.0)のパッチ要件

Oracle Database 11g (11.2.0.2.0)を使用する場合は、必ずRDBMSパッチ番号9776940に適した(プラットフォームに基づく)バージョンをダウンロードしてインストールしてください。これは、Oracle Identity Managerスキーマをインストールするための前提条件です。

表6-2に、Oracle Database 11gリリース2 (11.2.0.2.0)を使用するOracle Identity Manager 11gリリース1 (11.1.1)の構成に必要なパッチをリストします。Oracle Identity Managerスキーマを作成する前に、必ず次のパッチをダウンロードしてインストールしてください。

表6-2 Oracle Database 11g (11.2.0.2.0)に必要なパッチ

プラットフォーム

My Oracle Supportでのパッチ番号および説明

Linux x86 (32ビット)

Linux x86 (64ビット)

Oracle Solaris on SPARC (64ビット)

Oracle Solaris on x86-64 (64ビット)

RDBMS個別パッチ番号9776940。

Microsoft Windows x86 (32ビット)

バンドル・パッチ2[パッチ番号11669994]以降。最新のバンドル・パッチは4[パッチ番号11896290]です。

Microsoft Windows x86 (64ビット)

バンドル・パッチ2[パッチ番号11669995]以降。最新のバンドル・パッチは4[パッチ番号11896292]です。

このパッチが適用されない場合、ユーザーおよびロールの検索やマネージャの参照で問題が発生する可能性があります。また、検索結果として空の結果が戻されることもあります。

注意:

- このパッチはオンライン・モードで適用してください。実行するステップについては、パッチにバンドルされているreadme.txtファイルを参照してください。

- 一部の環境では、RDBMS個別パッチを使用して問題を解決することはできませんが、公開されている回避策が役立ちます。回避策については、Metalinkノート「バグ: 8352378 [MetalinkノートID 1264550.1]の修正が原因で機能ベースの索引およびOR拡張を使用した11.2.0.2で結果が正しくない」を参照してください。このノートを実行して、ALTER SYSTEM SET <param>=<value> scope=<memory>または<both>を使用してデータベース・インスタンス・レベルでパラメータを変更する必要があるという唯一の例外に応じてパラメータを設定できます。

6.1.4 職務の分離(SoD)のパッチ要件

表6-3に、職務の分離(SoD)機能の既知の問題を解決するパッチをリストします。

表6-3 SoDのパッチ

パッチ番号/ ID

説明および用途

パッチ番号9819201 (My Oracle Support)

「デフォルトのSoD構成を使用した場合にSAMLトークンのクライアント・ポリシーを使用する際のリクエスト・プロビジョニング時のSoDチェックが失敗する」に記述されている既知の問題を解決するために、SOAサーバーにこのパッチを適用します。

My Oracle Supportでは、このパッチを次のように説明しています。コールバックのためのSAMLトークン・クライアント・ポリシー使用時のエラー

パッチID 3M68 (Oracle Smart Updateユーティリティを使用)。必要なパスコード: 6LUNDUC7。

「リクエスト・プロビジョニング時にクライアント側ポリシーを使用してコールバックを起動するとSoDチェックが失敗する」に記述されている既知の問題を解決するために、Oracle Smart Updateユーティリティを使用して、このパッチをOracle WebLogic Serverに適用します。

注意:

SoDパッチはOracle Identity Manager 11g リリース1 (11.1.1.3)の既知の問題を解決するために必要ですが、11g リリース1 (11.1.1.5)では必要ありません。

6.1.5 パッチのアップグレード要件

Oracle Identity Manager提供のパッチの適用時に、次のエラーが生成されます。

ApplySession failed: ApplySession failed to prepare the system.

バージョン要件を満たすために、OPatchバージョン11.1.0.8.1をバージョン11.1.0.8.2にアップグレードする必要があります。

My Oracle SupportからOPatchをダウンロードする方法は、「My Oracle Support(旧OracleMetaLink)からのパッチの取得」を参照してください。

6.2 一般的な問題および回避策

この項では、一般的な問題および回避策について説明します。次の項目が含まれます。

- プラットフォーム・アーカイブ・ユーティリティを使用しない

- SPML-DSMLサービスがサポートされていない

- リソース・オブジェクト名が100文字を超えるとインポートが失敗する

- 「「ユーザーの作成」および「ユーザーの変更」APIを介して作成されたユーザーのステータス」

- Oracle Access Manager統合でロックされているユーザーのステータス

- ユーザーまたはアカウントのバルク・ロード後に監査スナップショットを生成する

- ブラウザのタイムゾーンが表示されない

- SoDタイムスタンプ・フィールドの日付書式変更がサポートされていない

- UTF-8 BOMエンコーディングを使用するCSVファイルのバルク・ロードがサポートされていない

- 「デフォルトのスケジューラ・ジョブ、ジョブ履歴アーカイブの日付タイプ属性がサポートされていない」

- 低いファイル制限によりアダプタのコンパイルが妨げられる

- リコンシリエーション・エンジンにより一致ルールが要求される

- 不正な書式で日付を指定するとSPMLリクエストがレポートされない

- SoDメッセージが失敗してキュー内でスタックするとログにSoD例外が移入される

- weblogic.propertiesファイルでバックスラッシュ(\)を使用できない

- リソースの検索時にアンダースコアを使用できない

- Assign to Administratorアクション・ルールがリコンシリエーションでサポートされていない

- Mozilla Firefoxではアテステーション画面の一部のボタンが機能しない

- ユーザーがロックを解除しようとするとmaxloginattemptsシステム・プロパティによって自動ログインが失敗する

- 「Oracle Identity ManagerとOracle Access Managerの統合の設定時に「ユーザーが見つかりません」エラー・メッセージが管理サーバー・コンソールに表示される」

- 消込照合ルールで一重引用符を使用できない

- LDAPのロールの調整時に特殊文字を使用できない

- デフォルトのSoD構成を使用した場合にSAMLトークンのクライアント・ポリシーを使用する際のリクエスト・プロビジョニング時のSoDチェックが失敗する

- リクエスト・プロビジョニング時にクライアント側ポリシーを使用してコールバックを起動するとSoDチェックが失敗する

- 汎用テクノロジ・コネクタでSPMLが使用されている場合のプロビジョニング時にエラーが表示される

- Mozilla Firefoxの使用時にTransUIのボタンをクリックできない

- ロールの作成、削除または変更時にLDAPハンドラによって無効な例外が発生する

- ASCII以外の文字で構成されたユーザー・パスワードをリセットできない

- 認可ポリシーのパッチ時に無害な例外およびエラー・メッセージが表示される

- タイ語ロケールでTransUIの日時の取得が正しく機能しない

- ACCESS POLICY ADMINISTRATORSロールを持たないユーザーはアクセス・ポリシー・レポートのデータを表示できない

- 空の日付に対するエラーがアーカイブ・ユーティリティによってスローされる

- リソースのダイレクト・プロビジョニングでTransUIが閉じる

- 「スケジューラによってRequiredParameterNotSetExceptionのかわりにParameterValueTypeNotSupportedExceptionがスローされる」

- Oracle Identity Manager 11gのアテステーションで一部の新規ユーザー属性がサポートされていない

- 信頼されているリソースのフィールドへのLDAP GUIDマッピングはサポートされていない

- 「変更リクエストの結果を読み込む際に「Design Consoleのアクセス」フィールドのユーザー詳細を正しい値にマップする必要がある」

- 類似するユーザーが存在する場合にアスタリスクを含むユーザーを作成できない

- 過去のプロキシに対して空白のステータス列が表示される

- 「リコンシリエーション・プロファイルの「パスワード」フィールドをマップするとユーザーの作成が妨げられる」

- ユーザー検索の結果にUIDがユーザー・ログインとして表示される

- ロール/組織の参照ツリーが表示されなくなる

- データ収集の権限選択はオプションではない

- コネクタのデプロイ時にOracle Identity Managerサーバーによって一般例外がスローされる

- 「「ユーザーの作成」APIでは「ユーザー.パスワードの有効期限なし」、「ユーザー.パスワードの変更不可」および「ユーザー.パスワードの変更が必要」フィールドに任意の値を設定できる」

- GTCのJGraph画面のラベルに誤りがある

- ワークフロー登録ユーティリティを実行するとエラーが生成される

- Solaris 64ビットのJVMインストールでネイティブ・パフォーマンス・パックが有効化されない

- 汎用テクノロジ・コネクタの作成ウィザードでのエラー

- Oracle Identity ManagerでSPML WebサービスのDSMLプロファイルがデプロイされない

- SOAコンポジットで新規ヒューマン・タスクをコピーする必要がある

- プロビジョニング済リソースの変更リクエストでサービス・アカウント・フラグがサポートされていない

- 「アイデンティティ管理コンソールの「例による問合せ」アイコンが間違っている」

- XL.ForcePasswordChangeAtFirstLoginシステム・プロパティは現在使用されていない

- tcExportOperationsIntf.findObjects(type,name) APIは両方のパラメータでアスタリスク(*)のワイルドカード文字を受け入れない

- Mozilla FireFoxで開かれたアクセス・ポリシー・サマリー・ページでリンクが無効である

- 「拡張管理で「ITリソース」フォームを編集すると無害なエラーが生成される」

- ユーザー・アカウントがOracle Identity Managerでロックされた後にiPlanetディレクトリ・サーバーでロックされない

- Oracle Identity ManagerでJavaAgentを使用した自動ログインがサポートされない

- アクセス・ポリシー、リソースまたはアテステーション・プロセスを開くと無害なエラーがログに記録される

- ユーザーがOracle Identity ManagerでロックされているがLDAPではロックされていない

- Xellerate組織のリソース・オブジェクトのリコンシリエーション・プロファイルはDesign Consoleを介して再生成することはできない

- 「アップグレード後に「管理」をクリックすると無害なエラーがログに記録される」

- プロビジョニングされたユーザーのアクセス・ポリシーを介したプロビジョニングが失敗する

- Oracle Identity Managerの管理対象サーバーの起動時に無害な警告メッセージが表示される

- デプロイメント・マネージャの実行時に無害なメッセージが表示される

- JREプラグイン1.6_23を備えたMicrosoft Internet Explorer 7を使用したデプロイメント・マネージャのエクスポートが開始時に失敗する

- 「「国」属性の値が2文字を超えるとMicrosoft Active Directoryでユーザー作成が失敗する」

- リソースの取消しに必要なターゲット・ユーザーの権限

- Oracle Identity Managerのアップグレード・バージョンにリコンシリエーション・ルールがないために信頼できるソース・リコンシリエーションでリコンシリエーション・イベントが失敗する

- Oracle Identity Managerの管理対象サーバーの起動時のXML検証エラー

- 「Design Consoleの「Data Object Manager」フォームでアダプタ・マッピングを表示または編集できない」

- 参照整合性プラグインの有効化または無効化時に割当てまたは取消し操作のロール・メンバーシップが更新されない

- 変更されていない属性がリコンシリエーション・データに表示される

- リカバリ対象のスケジュール済ジョブがあるときにスケジューラ・サービスを起動すると無害なエラーが表示される

- 信頼できるソースGTCのリコンシリエーション・マッピングで属性名を完全に表示できない

- データベース接続テストで無害なエラーがログに記録される

- デプロイメント・マネージャを介したGTCプロバイダのインポート時にMDS検証エラーが発生する

- サイズが4000文字を超えると暗号化されたユーザー定義フィールド(UDF)を格納できない

- コールバック・サービスの失敗によってリクエスト承認が失敗する

- iPlanetディレクトリ・サーバーを使用したユーザー/ロール増分リコンシリエーションを介してローカライズ済表示名が調整されない

- ASCII以外の文字を使用したLDAPロール階層およびロール・メンバーシップ・リコンシリエーションによってOracle Identity Manager内の変更が調整されない

- すべてのオブジェクトがエクスポート対象として選択されている場合、オブジェクトのインポートが失敗する

- アップグレード後に無害な監査エラーがログに記録される

- 既存のデータのサイズが新規列の長さより大きい場合、コネクタのアップグレードが失敗する

- ファイルがインポートされていないときにデプロイメント・マネージャでコネクタ・アーティファクトの数が増加する

- JARのアップロード・ユーティリティを使用したJARファイルのアップロードが失敗する

- データベース・ユーザーのパスワードの変更が原因でOracle Identity ManagerのデータおよびMTアップグレードが失敗する

- ロールおよび組織用の「管理詳細」ページで未保存のUDFの回復がサポートされない

- リクエストが送信された後でユーザー・ステータスの変更確認なしでリソースがユーザーにプロビジョニングされる

- JDK 6を備えた64ビットのMicrosoft Windowsでユーザーを作成しようとするとUCP接続プールの起動が失敗する

- データ・サンプルおよびソースとともにJRockitをインストールするとconfig.shコマンドが失敗する

- Oracle Identity Manager 11g リリース1(11.1.1)で予期しないメモリー使用量になる

- 「管理およびユーザー・コンソールに「レポート」リンクが存在しない」

- 割り当てられたユーザー・メンバーが削除されたロールを削除できない

- ロールおよび組織でパスワード・タイプの文字列UDFがサポートされていない

- デプロイメント・マネージャを使用したコネクタのインポート時のエラー

- ロールの変更後に「ローカライゼーションの管理」ダイアログ・ボックスが開かない

- 言語固有の表示名値を使用してユーザーを作成できない

- PeopleSoftリソース用としてユーザーによって作成されたリクエストに対してSoDチェックの結果が表示されない

- XL.UnlockAfterシステム・プロパティおよびユーザーの自動ロック解除スケジュール・ジョブが機能しない

- アカウント・ロックアウトのパスワードをリセットしてもユーザーがロック解除されない

- 一部の64ビットのMicrosoft WindowsコンピュータでOracle Identity ManagerおよびSOAサーバーを初めて起動したときに時間がかかる

- 増分リコンシリエーション・ジョブおよび全体リコンシリエーション・ジョブを同時に実行できない

- MTアップグレード・レポート内の「ロードされたScheduleTaskのJar」表および「サード・パーティのJar」表のコンテンツが正しくない

- 「コネクタ管理 - アップグレード」ウィザードの「アップグレード対象のコネクタ・オブジェクトの選択」ページでスクロールバーを使用できない

- 誤ったデータのためにコンパイルが失敗すると、アダプタ・インポートでアダプタ・ロジックが表示される

- Oracle Identity ManagerでXIMDDテストが失敗する

6.2.1 プラットフォーム・アーカイブ・ユーティリティを使用しない

現在、プラットフォーム・アーカイブ・ユーティリティはサポートされていないため、使用しないでください。

この問題を回避するために、編成プロセス・クリーンアップ・タスクという事前に定義されたスケジュール済タスクを使用して、完了した編成プロセスおよび関連データをすべて削除します。

6.2.2 SPML-DSMLサービスがサポートされていない

Oracle Identity ManagerのSPML-DSMLサービスは現在、11g リリース1 (11.1.1)ではサポートされていません。ただし、Microsoft Active Directoryのパスワード同期用のspml-dsml.earアーカイブ・ファイルを手動でデプロイできます。

6.2.3 リソース・オブジェクト名が100文字を超えるとインポートが失敗する

リソース・オブジェクト名が100文字を超えると、データベースでエラーが発生し、リソース・オブジェクトがインポートされません。この問題を回避するには、XMLファイル内のリソース・オブジェクトの名前を変更し、この名前が100文字未満になるようにします。

6.2.4 「ユーザーの作成」および「ユーザーの変更」APIを介して作成されたユーザーのステータス

無効状態でユーザーを作成することはできません。ユーザーは常にアクティブ状態で作成されます。

「ユーザーの作成」および「ユーザーの変更」APIでは、Users.Disableユーザー属性値が受け付けられません。「作成」APIを呼び出すときにUsers.Disableユーザー属性に値を渡すと、Oracle Identity Managerはこの値を無視し、USR表にはユーザーの状態がアクティブであることを示す値0が常に移入されます。

ユーザーを無効にするには、「無効化」APIを使用します。

6.2.5 Oracle Access Manager統合でロックされているユーザーのステータス

Oracle Access ManagerによってOracle Identity ManagerとOracle Access Managerの統合内のユーザー・アカウントがロックされている場合、ロックされているアカウントのステータスが調整されてOracle Identity Managerに表示されるまでに約5分、(または増分リコンシリエーションのスケジュール済の間隔によって定義された合計時間)かかることがあります。ただし、ユーザー・アカウントがOracle Identity Managerによってロックまたはロック解除されている場合は、ステータスは即時表示されます。

6.2.6 ユーザーまたはアカウントのバルク・ロード後に監査スナップショットを生成する

GenerateSnapshot.[sh|bat]オプションは、バルク・ロード・ユーティリティから呼び出されると正しく機能しません。この問題を回避し、ユーザーまたはアカウントのバルク・ロード後に初期監査のスナップショットを生成するには、$OIM_HOME/bin/ディレクトリからGenerateSnapshot.[sh|bat]を実行する必要があります。

6.2.7 ブラウザのタイムゾーンが表示されない

現在、ADFの制限により、ブラウザのタイムゾーンはOracle Identity Managerにアクセスできません。Oracle Identity Managerのすべての日付値のタイムゾーン情報は、サーバーのタイムゾーンに基づきます。そのため、エンド・ユーザーは日付値のタイムゾーン情報を確認できますが、タイムゾーン値に表示されるのはサーバーのタイムゾーンです。

6.2.8 SoDタイムスタンプ・フィールドの日付書式変更がサポートされていない

「SoDチェック」ページの「職務の分離(SoD)チェックのタイムスタンプ」フィールドでエンド・ユーザーに表示される日時値は、常にYYYY-MM-DD hh:mm:ss形式で表示されます。この書式はローカライズできません。

このローカライズの問題を回避するには、次の手順を実行します。

1. Oracle_eBusiness_User_Management_9.1.0.1.0/xml/Oracle-eBusinessSuite-TCA-Main-ConnectorConfig.xmlファイルを開きます。

2. EBS Connector import xmlでProcess FormのSoDCheckTimeStampフィールドを探します。次のように、<SDC_FIELD_TYPE>をDateFieldDlgに、また<SDC_VARIANT_TYPE>をDateに変更します。

<FormField name = "UD_EBST_USR_SODCHECKTIMESTAMP">
<SDC_UPDATE>!Do not change this field!</SDC_UPDATE>
<SDC_LABEL>SoDCheckTimestamp</SDC_LABEL>
<SDC_VERSION>1</SDC_VERSION>
<SDC_ORDER>23</SDC_ORDER>
<SDC_FIELD_TYPE>DateFieldDlg</SDC_FIELD_TYPE>
<SDC_DEFAULT>0</SDC_DEFAULT>
<SDC_ENCRYPTED>0</SDC_ENCRYPTED>
<!--SDC_SQL_LENGTH>50</SDC_SQL_LENGTH-->
<SDC_VARIANT_TYPE>Date</SDC_VARIANT_TYPE>
</FormField>

3. コネクタをインポートします。

4. SoDチェックを有効化します。

5. SoDチェックをトリガーするために、権限を使用してEBSリソースをプロビジョニングします。

6. Process FormのSoDCheckTimeStampフィールドがフォームの他の日付フィールドと同様にローカライズされていることを確認します。

6.2.9 UTF-8 BOMエンコーディングを使用するCSVファイルのバルク・ロードがサポートされていない

UTF-8 BOM (byte order mark)エンコーディングが指定されているCSVファイルのバルク・ロードでエラーが発生します。ただし、no BOMエンコーディングを指定すると、UTF-8エンコード済CSVファイルのバルク・ロードは正常に機能します。

この問題を回避するには次のようにします。

- ASCII以外のデータをロードする場合は、CSVファイルをロードする前に、CSVファイルのエンコーディングをUTF-8 no BOMに変更する必要があります。

- UTF-8 BOMエンコーディングを使用するCSVファイルにデータが格納されている場合は、bulkloadスクリプトを実行する前に、これらのファイルをUTF-8 no BOMエンコーディングに変更する必要があります。

6.2.10 デフォルトのスケジューラ・ジョブ、ジョブ履歴アーカイブの日付タイプ属性がサポートされていない

デフォルトのスケジューラ・ジョブであるジョブ履歴アーカイブでは、日付タイプ属性がサポートされていません。

ジョブ履歴アーカイブのアーカイブ日属性パラメータでは、ddMMyyyyやMMM DD, yyyyなどの文字列パターンのみが受け入れられます。

スケジューラ・ジョブを実行すると、コードによって日付書式がチェックされます。不正な書式を入力すると、実行ステータス・リストおよびログ・コンソールに次の例のようなエラーが表示されます。

<IAM-1020063> <アーカイブ日パラメータの書式が不正です。アーカイブ日はDDMMYYYYまたはUI日付形式である必要があります。>

アーカイブ日の正しい情報を入力するまで、ジョブは正常に実行されません。

6.2.11 低いファイル制限によりアダプタのコンパイルが妨げられる

ファイル制限が低すぎる値に設定されているマシンでは、エンティティ・アダプタを作成およびコンパイルしようとすると、開いているファイルが多すぎるというエラーが発生し、アダプタがコンパイルされません。

この問題を回避するために、(/etc/security/limits.confにある)マシンのファイル制限を次のように変更し、マシンを再起動します。

- soft nofile 4096

- hard nofile 4096

6.2.12 リコンシリエーション・エンジンにより一致ルールが要求される

現在、Oracle Identity Manager 11g リリース1 (11.1.1)のリコンシリエーション・エンジンでは、リコンシリエーションの各コネクタについて、ユーザーを識別するための一致ルールを定義することが求められます。ユーザーを識別するための一致ルールを定義しない場合、リコンシリエーション時にエラーが発生します。

6.2.13 不正な書式で日付を指定するとSPMLリクエストがレポートされない

activeStartDateやhireDateなどの日付を不正な書式で指定した場合、これらの値はWebサーバーからSPMLレイヤーに渡されません。有効な日付のみが解析され、SPMLで使用可能になります。そのため、無効な日付書式を含むSPMLリクエストの際、リクエストの無効な日付書式は無視され、操作に使用できなくなります。たとえば、HireDateの月を08ではなく8と指定した場合、作成リクエストの完了後にHireDateの値は移入されず、エラー・メッセージは表示されません。

サポートされる日付書式は次のとおりです。

yyyy-MM-dd hh:mm:ss.fffffffff

これ以外の書式はサポートされません。

6.2.14 SoDメッセージが失敗してキュー内でスタックするとログにSoD例外が移入される

SoD機能ではJMSベースの処理が使用されます。Oracle Identity Managerは、各SoDリクエストに対してoimSODQueueにメッセージを送信します。なんらかの理由で1つのSoDメッセージが常にエラーになる場合、Oracle Identity Managerは、oimSODQueue内の次のメッセージを処理しません。エラーになるメッセージをoimSODQueueから削除するまで、Oracle Identity Managerでは常に、処理の対象としてそのメッセージが選択されます。

この問題を回避するには、次の手順を使用して、キューのプロパティを編集し、oimSODQueue内のSoDメッセージを削除します。

1. http://<hostname>:<port>/consoleでWebLogic管理コンソールにログオンします。

2. コンソールから「サービス」→「メッセージング」→「JMSモジュール」の順に選択します。

3. OIMJMSModuleをクリックします。すべてのキューが表示されます。

4. oimSODQueueをクリックします。

5. 「構成」タブ→「配信の失敗」タブの順に選択します。

6. 再試行回数を変更して、指定した回数のみメッセージが送信されるようにします。

7. 「再配信の制限」のデフォルト値を、無限を意味する-1から特定の値に変更します。たとえば、1を指定するとメッセージは1回のみ送信されます。

8. SoDエラー・メッセージを確認して削除するには、「監視」タブに移動し、メッセージを選択して削除します。

6.2.15 weblogic.propertiesファイルでバックスラッシュ(\)を使用できない

MDSへのデータのインポートにWeblogicImportMetadata.cmdユーティリティを使用している場合は、weblogic.propertiesファイル内のパスに円記号(\)を使用すると例外が発生します。

この問題を回避するには、Microsoft Windowsで二重の円記号(\\)またはフォワードスラッシュ(/)を使用する必要があります。たとえば、weblogic.propertiesファイルのmetadata_from_loc=C:\metadata\fileをmetadata_from_loc=C:\\metadata\\fileに変更します。

6.2.16 リソースの検索時にアンダースコアを使用できない

リソース・オブジェクトの検索時には、リソース名にアンダースコア(_)を使用しないでください。検索機能ではアンダースコアは無視されるため、予期しない結果につながります。

6.2.17 Assign to Administratorアクション・ルールがリコンシリエーションでサポートされていない

リコンシリエーションでは、Assign to Administratorアクション・ルールがサポートされていません。

この問題を回避するには、コネクタをインポートする前に、コネクタXMLでAssign to AdministratorをNoneに変更します。ただし、値をNoneに変更した後でAssign to Administratorに戻すことはできません。

6.2.18 Mozilla Firefoxではアテステーション画面の一部のボタンが機能しない

Mozilla Firefox Webブラウザでアテステーションを作成する際、特定のボタンをクリックしても何も起こりません。

この問題を回避するには、「更新」ボタンをクリックしてページをリフレッシュします。

6.2.19 ユーザーがロックを解除しようとするとmaxloginattemptsシステム・プロパティによって自動ログインが失敗する

WLSセキュリティ・レルムのデフォルトのロックアウト・ポリシーにより、ログイン試行に数回失敗すると、しばらくしてユーザーがロックアウトされます。このポリシーは、Oracle Identity Managerのロックおよびロック解除の機能と競合する可能性があります。

WLSセキュリティ・レルムのロックアウト・ポリシーによるOracle Identity Managerのロック/ロック解除機能への影響を回避するには、WLSのユーザー・ロックアウト・ポリシーの「ロックアウトしきい値」の値をOracle Identity Managerの値より5以上大きく設定する必要があります。たとえば、Oracle Identity Managerの値が10に設定されている場合は、WLSの「ロックアウトしきい値」の値を15に設定します。

ユーザー・ロックアウト・ポリシーのデフォルト値を変更するには、次の手順を実行します。

1. WebLogic Server管理コンソールを開きます。

2. 「セキュリティ・レルム」でREALM_NAMEを選択します。

3. 「ユーザーのロックアウト」タブを選択します。

4. 構成の編集が有効になっていない場合は、「ロックと編集」ボタンをクリックして構成の編集を有効化します。

5. ロックアウトしきい値を必要な値に変更します。

6. 「保存」をクリックして、変更を保存します。

7. 「アクティブ化」をクリックして変更をアクティブ化します。

8. ドメイン内のすべてのサーバーを再起動します。

6.2.20 Oracle Identity ManagerとOracle Access Managerの統合の設定時に「<ユーザーが見つかりません」というエラー・メッセージが管理サーバー・コンソールに表示される

JAVAエージェントを使用してOracle Identity ManagerとOracle Access Managerの統合を設定する際に管理サーバー・コンソールにログインすると、「ユーザーが見つかりません」というエラー・メッセージが表示されます。このメッセージは、ログインが正常に行われた場合でも表示されます。

6.2.21 消込照合ルールで一重引用符を使用できない

リコンシリエーション・データで一重引用符(')を使用すると(例: 'B'1USER1')、例外が発生してターゲット・リコンシリエーションが失敗します。

6.2.22 LDAPのロールの調整時に特殊文字を使用できない

Oracle SOAインフラストラクチャの制限により、LDAPのロールの調整時には、ロール名、グループ名またはコンテナの説明にカンマ(,)などの特殊文字を使用できません。Oracle Identity Managerの内部コードでは、特殊文字がデリミタとして使用されます。たとえばカンマ(,)は、Oracle Identity Managerでは承認者デリミタとして使用され、SOA HWFレベルのグローバル構成では割当て先デリミタとして使用されます。

6.2.23 デフォルトのSoD構成を使用した場合にSAMLトークンのクライアント・ポリシーを使用する際のリクエスト・プロビジョニング時のSoDチェックが失敗する

デフォルトのSoDチェック構成を使用した場合のみ、リクエスト・プロビジョニング時のSoDチェックが実行されるとSoDチェックが失敗し、SOAコンソールに次のエラーが表示されます。

SEVERE: FabricProviderServlet.handleException Error during retrieval of test page or composite resourcejavax.servlet.ServletException: java.lang.NullPointerException

このエラーは、Sodcheckの結果を使用してOracle Identity ManagerからSOAへのコールバックが行われると発生します。

この問題を解決するには、SOAサーバーにパッチ9819201を適用します。パッチ9819201はMy Oracle Supportから入手できます。My Oracle Supportでは、このパッチを次のように説明しています。コールバックのためのSAMLトークン・クライアント・ポリシー使用時のエラー

詳細は、次を参照してください。

- My Oracle Support(旧OracleMetaLink)からのパッチの取得

- 職務の分離(SoD)のパッチ要件

6.2.24 リクエスト・プロビジョニング時にクライアント側ポリシーを使用してコールバックを起動するとSoDチェックが失敗する

デフォルトのSoDチェック構成を使用した場合のみ、リクエスト・プロビジョニング時のSoDチェックが実行されるとSoDチェックが失敗し、Oracle Identity Manager管理およびユーザー・コンソールに次のエラーが表示されます。

<Error> <oracle.wsm.resources.policymanager><WSM-02264> <"/base_domain/oim_server1/oim/unknown/iam-ejb.jar/WEBSERVICECLIENTs/SoDCheckResultService/PORTs/ResultPort" is not a recognized resource pattern.>
<Error> <oracle.iam.sod.impl> <IAM-4040002><Error getting Request Service : java.lang.IllegalArgumentException: WSM-02264 "/base_domain/oim_server1/oim/unknown/iam-ejb.jar/WEBSERVICECLIENTs/SoDCheckResultService/PORTs/ResultPort" is not a recognized resource pattern.>

この問題を解決するには、Oracle Smart Updateユーティリティを使用してパッチID 3M68を適用します。これにはOracle WebLogic Serverでパスコード6LUNDUC7が必要です。詳細は、次を参照してください。

- 『Oracle Smart Updateパッチおよびメンテナンス・パックのインストール』ドキュメント

- 職務の分離(SoD)のパッチ要件

6.2.25 汎用テクノロジ・コネクタでSPMLが使用されている場合のプロビジョニング時にエラーが表示される

SPMLを使用する汎用テクノロジ・コネクタを使用している場合、プロビジョニング時に次のエラーが表示される場合があります。

<SPMLProvisioningFormatProvider.formatData :problem with Velocity Template Unable
to find resource 'com/thortech/xl/gc/impl/prov/SpmlRequest.vm'>

このエラーが発生すると、事前定義済SPML GTCプロビジョニング・フォーマット・プロバイダを使用してプロビジョニングがブロックされます。Oracle Identity Managerサーバーを再起動すると、このエラーの再表示を回避できます。

6.2.26 Mozilla Firefoxの使用時にTransUIのボタンをクリックできない

Mozilla Firefoxブラウザを使用した場合、特定の状況下でレガシー・ユーザー・インタフェース(TransUIとも呼ばれる)の一部のボタンをクリックできません。この問題は断続的に発生し、Firefoxの再ロード(リフレッシュ)機能を使用して解決できます。

6.2.27 ロールの作成、削除または変更時にLDAPハンドラによって無効な例外が発生する

ロールの作成、変更または削除時にLDAPハンドラによって例外が発生すると、「システム・エラー」や「ロールが存在しません」などの無効なエラー・メッセージが表示される場合があります。

この問題を回避するには、ログ・ファイルに表示される正しいエラー・メッセージを確認します。

6.2.28 ASCII以外の文字で構成されたユーザー・パスワードをリセットできない

ユーザーのパスワードがASCII以外の文字で構成されている場合にユーザーがOracle Identity Managerセルフ・サービスのマイ・プロファイルまたは初期ログイン画面からパスワードをリセットしようとすると、リセットが失敗して次のエラー・メッセージが表示されます。

Failed to change password during the validation of the old password

注意:

ユーザー・パスワードがASCII文字のみで構成されている場合は、このエラーは発生しません。

この問題を回避するには、次の手順を実行します。

1. JVMファイルのエンコーディングをUTF8に設定します(例: -Dfile.encoding=UTF-8)。

注意:

これにより、Windowsシステムではコンソールの出力がゆがんで表示される場合がありますが、ログ・ファイルでは正しく表示されます。

2. Oracle WebLogic Serverを再起動します。

6.2.29 認可ポリシーのパッチ時に無害な例外およびエラー・メッセージが表示される

Oracle Identity Managerに含まれる認可ポリシーにパッチを適用し、JavaSE環境によってOracle JDBCドライバが登録されると、java.security.AccessControlExceptionがレポートされ、次のエラー・メッセージが表示されます。

Error while registering Oracle JDBC Diagnosability MBean

この例外は無害です。例外およびエラー・メッセージに反して認可ポリシーは正常にシードされるため、無視して構いません。

6.2.30 タイ語ロケールでTransUIの日時の取得が正しく機能しない

Microsoft Windows Internet ExplorerのWebブラウザでロケールがth_THに設定されている場合、Oracle Identity Managerの日時はタイの仏暦に従います。管理およびユーザー・コンソールの「アテステーションの作成」ページで開始時間の日付を選択すると、タイの仏暦の年が表示されます(例: 2553)。「OK」をクリックするとグレゴリオ暦の同じ年(2010)が「開始時間」フィールドに表示されます。ただし、「次へ」をクリックしてアテステーションの作成を続行すると、処理の開始時間を過去の時間にすることはできないという内容のエラー・メッセージが表示されます。

この問題を回避するには、次のいずれかを実行します。

- 日時を手動で指定する。

- グレゴリオ暦が使用されるMozilla FirefoxのWebブラウザを使用する。

6.2.31 ACCESS POLICY ADMINISTRATORSロールを持たないユーザーはアクセス・ポリシー・レポートのデータを表示できない

ACCESS POLICY ADMINISTRATORSロールを持たないOIMユーザーは、次のレポートのデータを表示できません。

- アクセス・ポリシー詳細

- ロール別のアクセス・ポリシー・リスト

この問題を回避するには:

1. ACCESS POLICY ADMINISTRATORSロールをOIMユーザーに割り当てます。

2. 手順1と同じユーザー名を使用してBI Publisherユーザーを作成します。レポートを表示するのに適したBI Publisherロールを割り当てます。

3. 手順2のBI Publisherユーザーとしてログインします。「アクセス・ポリシー詳細」レポートおよび「ロール別のアクセス・ポリシー・リスト」レポートを表示します。すべてのアクセス・ポリシーが表示されます。

6.2.32 空の日付に対するエラーがアーカイブ・ユーティリティによってスローされる

日付が空の場合、アーカイブ・ユーティリティによってエラー・メッセージがスローされますが、現在の日付にマップしてデータのアーカイブが続行されます。現在、この問題を回避する方法はありません。

6.2.33 リソースのダイレクト・プロビジョニングでTransUIが閉じる

デフォルト値を使用してユーザー定義フィールド(UDF)が作成された場合、ダイレクト・プロビジョニング時にTransUIが閉じます。この問題を回避するには、LKU/LKV表でINTEGER/DOUBLE型のUDFの参照コードを作成する必要があります。

6.2.34 スケジューラによってRequiredParameterNotSetExceptionのかわりにParameterValueTypeNotSupportedExceptionがスローされる

AIXプラットフォームでは、スケジューラ・ジョブの作成時に必要なパラメータがない場合、RequiredParameterNotSetExceptionがスローされてエラー・メッセージ「スケジュール済タスクの必要なパラメータに値が設定されていません。」が表示されるかわりに、ParameterValueTypeNotSupportedExceptionがスローされてエラー・メッセージ「パラメータ値が正しく設定されていません。」が表示されます。現在、この問題を回避する方法はありません。

6.2.35 Oracle Identity Manager 11gのアテステーションで一部の新規ユーザー属性がサポートされていない

Oracle Identity Manager 11gには新規のユーザー属性が追加されています。その一部は、ユーザー・スコープを定義する際にアテステーションに使用できません。ただし、アテステーションが拡張され次のユーザー属性が追加されています。

- USR_COUNTRY

- USR_LDAP_ORGANIZATION

- USR_LDAP_ORGANIZATION_UNIT

- USR_LDAP_GUID

現在、この問題を回避する方法はありません。

6.2.36 信頼されているリソースのフィールドへのLDAP GUIDマッピングはサポートされていない

LDAP-SYNCが有効なインストールで、信頼されているリソースのいずれかのフィールドにLDAP GUIDがマップされている場合、更新が失敗します。この問題を回避するために、信頼されているリソースのリコンシリエーション・フィールド・マッピングを作成する際には、LDAP GUIDフィールドをマッピングしないことをお薦めします。

6.2.37 変更リクエストの結果を読み込む際に「Design Consoleのアクセス」フィールドのユーザー詳細を正しい値にマップする必要がある

変更リクエストが要求された場合、「Design Consoleのアクセス」フィールドに「エンドユーザー」および「エンドユーザー管理者」の値が表示されます。これらの値は、ユーザー詳細を解釈する際にFalseまたはTrueにマップされる必要があります。

6.2.38 類似するユーザーが存在する場合にアスタリスクを含むユーザーを作成できない

ユーザーの作成後、アスタリスク(*)を含む類似した名前のユーザーを作成しようとすると失敗します。たとえば、test1testというユーザーの作成後にtest*testを作成しようとしても作成できません。

「ユーザー・ログイン」フィールドではアスタリスクを含むユーザーを作成しないことをお薦めします。

6.2.39 過去のプロキシに対して空白のステータス列が表示される

「過去のプロキシ」ページの「ステータス」フィールドは空白です。ただし、「現行のプロキシ」ページでは、アクティブなプロキシが正しく表示されます。

現在、この問題を回避する方法はありません。

6.2.40 リコンシリエーション・プロファイルの「パスワード」フィールドをマップするとユーザーの作成が妨げられる

「パスワード」フィールドは、リコンシリエーション・プロファイルでマップ可能ですが、使用しないでください。このフィールドをマップしようとすると、ユーザーを作成しないリコンシリエーション・イベントが生成されます。(このイベントは、一致するものが見つからない状態で終了します。)また、このイベントを再評価したり、手動でリンクすることもできません。

6.2.41 ユーザー検索の結果にUIDがユーザー・ログインとして表示される

拡張管理の「構成の検索」ページの「検索結果表構成」リストからUID属性を選択できますが、ユーザーの拡張検索の検索結果表には「UID」フィールドのかわりに「ユーザー・ログイン」フィールドが表示されます。

6.2.42 ロール/組織の参照ツリーが表示されなくなる

組織を削除すると、組織およびロールの参照ツリーが表示されなくなる場合があります。

この問題を回避するには、「検索結果」タブ→「参照」タブの順にクリックします。ロールおよび組織の参照ツリーが正しく表示されます。

6.2.43 データ収集の権限選択はオプションではない

「依存先」(依存)属性に対するプロセス・フォームでのデータ収集時の権限(「子表」)選択はオプションではありません。データ収集時に依存参照が構成されている場合、ユーザーは親参照値を選択することにより、子参照でフィルタリングが行われるようにする必要があります。これにより、ユーザーは選択対象の権限の最終リストを取得します。現在、子参照に基づいて値を直接フィルタリングするための回避策は存在しません。

6.2.44 コネクタのデプロイ時にOracle Identity Managerサーバーによって一般例外がスローされる

デプロイメント・マネージャのインポート、手動によるプロファイル変更、またはDesign Console経由のプロファイル変更が発生するたびに、サーバー・ログに一般例外が表示されます。これは、WLSINTERNALがOracle Identity Managerの認可されたユーザーではないためです。WLSINTERNALはWebLogic Serverの内部ユーザーであり、MDSに格納されているXMLに変更があった場合に、MDSがMDSリスナーを起動する際に使用されます。現在、この問題を回避する方法はありません。

6.2.45 「ユーザーの作成」APIでは「ユーザー.パスワードの有効期限なし」、「ユーザー.パスワードの変更不可」および「ユーザー.パスワードの変更が必要」フィールドに任意の値を設定できる

「ユーザーの作成」APIでは、「ユーザー.パスワードの有効期限なし」、「ユーザー.パスワードの変更不可」および「ユーザー.パスワードの変更が必要」フィールドに対して、0か1ではなく、0から9までの任意の値を設定できます。ただし、0以外の値はTRUE、0はFALSEとみなされ、作成されるユーザーに応じてフラグが設定されます。現在、この問題を回避する方法はありません。

6.2.46 GTCのJGraph画面のラベルに誤りがある

JGraph画面の「ユーザー・タイプ」ラベルが、誤って「Design Consoleのアクセス」と表示されます。「ユーザー・タイプ」と表示するには、OIM_HOME/server/customResources/customResources.propertiesファイルにXellerate_Type=User Type行を追加します。

6.2.47 ワークフロー登録ユーティリティを実行するとエラーが生成される

Oracle Identity Managerのクラスタ化デプロイメントでワークフロー登録ユーティリティを実行すると、次のエラーが生成されます。

[java] oracle.iam.platform.utils.NoSuchServiceException:
java.lang.reflect.InvocationTargetException

このエラー・メッセージは無視してください。

6.2.48 Solaris 64ビットのJVMインストールでネイティブ・パフォーマンス・パックが有効化されない

Solaris 64ビット・コンピュータ上のOracle Identity Manager JVMインストールでは、Oracle WebLogicのログに次のエラーが表示されます。

Unable to load performance pack. Using Java I/O instead. Please ensure that a native performance library is in:

この問題を回避するには、JDKによって64ビットのネイティブ・パフォーマンスが確実に選択されるように、次の手順を実行します。

1. テキスト・エディタでMIDDLEWARE_HOME/wlserver_10.3/common/bin/commEnv.shファイルを開きます。

2. 次のテキストを探します。

SUN_ARCH_DATA_MODEL="32"

これを次のテキストに置き換えます。

SUN_ARCH_DATA_MODEL="64"

3. commEnv.shファイルを保存して閉じます。

4. アプリケーション・サーバーを再起動します。

6.2.49 汎用テクノロジ・コネクタの作成ウィザードでのエラー

汎用テクノロジ・コネクタの作成ウィザードでデータベースの不正な資格証明を入力すると、システム・エラー・ウィンドウが表示されます。このウィンドウを閉じてウィザードを再実行する必要があります。

6.2.50 Oracle Identity ManagerでSPML WebサービスのDSMLプロファイルがデプロイされない

Oracle Identity Manager 11g リリース 1 (11.1.1)では、SPML WebサービスのDSMLプロファイルはデフォルトでデプロイされません。Microsoft Active Directory Password Synchronizationをサポートするために、SPML-DSMLバイナリはOracle Identity Managerインストーラとバンドルされています。spml-dsml.earファイルを手動でデプロイする必要があります。

6.2.51 SOAコンポジットで新規ヒューマン・タスクをコピーする必要がある

新規ヒューマン・タスクを既存のSOAコンポジットに追加する場合は、元のヒューマン・タスクに含まれる属性のすべてのコピー操作を新規ヒューマン・タスクに追加する必要があります。そうでない場合、「タスクの詳細の表示」ページにエラーが表示される可能性があります。

6.2.52 プロビジョニング済リソースの変更リクエストでサービス・アカウント・フラグがサポートされていない

プロビジョニング済リソースの変更リクエストを介して標準アカウントをサービス・アカウントに変更することはできません。同様に、サービス・アカウントを標準アカウントに変更することもできません。

6.2.53 アイデンティティ管理コンソールの「例による問合せ」アイコンが間違っている

アイデンティティ管理コンソールで、「メンバー」タブの詳細を表示しているときに、「例による問合せ」アイコンのツールチップ(マウスオーバー・テキスト)のある間違ったアイコンが表示されます。「例による問合せ」アイコンは機能していないため、無視する必要があります。

6.2.54 XL.ForcePasswordChangeAtFirstLoginシステム・プロパティは現在使用されていない

Oracle Identity Manager 11g リリース1 (11.1.1.1)では、XL.ForcePasswordChangeAtFirstLoginシステム・プロパティは現在使用されていません。このため、初回のログイン時にユーザーにパスワードの変更を要求するよう構成することはできません。デフォルトでは、次の場合、ユーザーはパスワードを変更する必要があります。

- 自己登録ユーザーではない新規ユーザーがOracle Identity Managerに初めてログインする場合

- パスワードがリセットされた後にユーザーがOracle Identity Managerに初めてログインする場合

6.2.55 tcExportOperationsIntf.findObjects(type,name) APIは両方のパラメータでアスタリスク(*)のワイルドカード文字を受け入れない

tcExportOperationsIntf.findObjects(type,name) APIがアスタリスク(*)のワイルドカード文字を受け入れるのは、2番目のパラメータ(名前)に対してのみです。タイプについては、カテゴリを指定する必要があります。たとえば、findObjects("Resource","*")は有効なコールですが、findObjects("*","*")は無効です。

6.2.56 Mozilla FireFoxで開かれたアクセス・ポリシー・サマリー・ページでリンクが無効である

Mozilla FireFox Webブラウザで開かれたアクセス・ポリシーの作成および「アクセス・ポリシーの変更」ウィザードの「アクセス・ポリシー」ページの「情報の検証」で、アクセス・ポリシーによってプロビジョニングするリソースに対して「変更」をクリックしてから、「編集」をクリックし、プロビジョニングするリソースのプロセス・フォーム・データを編集します。「編集」フォームで「閉じる」ボタンをクリックすると、任意のアクセス・ポリシー情報セクションの変更リンク(アクセス・ポリシーによってプロビジョニングされるリソース、アクセス・ポリシーによって拒否されるリソース、またはアクセス・ポリシーのロールなど)が機能しません。

この問題を回避するには、「リフレッシュ」をクリックします。この「アクセス・ポリシー」ページの「情報の検証」内のすべてのリンクが有効になります。

6.2.57 拡張管理で「ITリソース」フォームを編集すると無害なエラーが生成される

拡張管理の「ITリソース」で「編集」リンクをクリックすると、次のエラー・メッセージがログに記録されます。

<Error> <XELLERATE.APIS> <BEA-000000>
<Class/Method: tcFormDefinitionOperationsBean/getFormFieldPropertyValue encounter some problems: Property 'Column Names' has not defined for the form field '-82'>

このエラー・メッセージは無害で機能が失われることはないため、無視してもかまいません。

6.2.58 ユーザー・アカウントがOracle Identity Managerでロックされた後にiPlanetディレクトリ・サーバーでロックされない

Oracle Identity Managerでは、ログイン試行が最大数に達すると、ユーザーはロックされます。しかし、iPlanet DS/ODSEEでは、ユーザーはロックされません。バックエンドiPlanet DS/ODSEEは「操作」属性の設定によるアカウントのロック解除をサポートしていないため、orclAccountLocked機能はサポートされません。アカウントはパスワードのリセットによってのみロック解除されます。nsaccountlock属性は、管理ロックアウト用として使用できます。この属性はパスワード・ポリシーには使用されませんが、アカウントを個別にロックするためにこの属性を使用できます。パスワード・ポリシーによってアカウントがロックされる場合、パスワード・ポリシー・ロックアウトが解除された後でもnsaccountlockはユーザーをロックします。

6.2.59 Oracle Identity ManagerでJavaAgentを使用した自動ログインがサポートされない

JavaAgentを使用したOracle Identity ManagerのOracle Access Manager (OAM)統合デプロイメントで、Oracle Identity Managerで作成されたユーザーがOracle Identity Manager管理およびユーザー・コンソールに初めてログインしようとすると、パスワードをリセットしてチャレンジ質問を設定するよう求められます。この後、ユーザーはOracle Identity Managerに自動的にはログインされず、OAMのログイン・ページにリダイレクトされます。これは、JavaAgentが使用されているときに、Oracle Identity Managerが自動ログインをサポートしていないことが原因です。

6.2.60 アクセス・ポリシー、リソースまたはアテステーション・プロセスを開くと無害なエラーがログに記録される

委任された管理者として、アクセス・ポリシー、リソースまたはアテステーション・プロセスの詳細を表示するためにページを開くと、次のエラーがログに記録されます。

Error> <org.apache.struts.tiles.taglib.InsertTag> <BEA-000000>
<Can't insert page '/gc/EmptyTiles.jsp' : Write failed: Broken pipe  java.net.SocketException: Write failed: Broken pipe

このエラーは無害で機能が失われることはないため、無視してもかまいません。

6.2.61 ユーザーがOracle Identity ManagerでロックされているがLDAPではロックされていない

ディレクトリ・サーバーがMicrosoft Active Directory (AD)またはOracle Internet Directory (OID)であるOracle Identity ManagerのLDAP対応デプロイメントでは、パスワード・ポリシーがLDAPで構成されていない場合、ユーザーが管理者によってOracle Identity Manager内で手動でロックされても、LDAP内ではロックされません。LDAPで構成可能なパスワード・ポリシーには、すべてのLDAPユーザーに適用できるデフォルトのパスワード・ポリシーか、ユーザー固有のパスワード設定オブジェクト(PSO)があります。

6.2.62 Xellerate組織のリソース・オブジェクトのリコンシリエーション・プロファイルはDesign Consoleを介して再生成することはできない

デフォルトでは、Xellerate組織のリソース・オブジェクトには、Oracle Identity Managerのフィールド・マッピングおよび任意の一致/アクション・ルール情報に対するリコンシリエーションが設定されていません。このため、Xellerate組織のリソース・オブジェクトのリコンシリエーション・プロファイルがDesign Consoleを介して更新されると、このリソース・オブジェクトの既存のリコンシリエーション構成が破損し、空のステータスでリコンシリエーションが失敗します。

この問題を回避するには、Design Consoleを介してリコンシリエーション・プロファイル/構成を生成しないでください。かわりに、Xellerate組織プロファイルをメタデータ・ストア(MDS)からエクスポートし、手動で編集し、Oracle Identity Managerにインポートし戻します。プロファイルの変更にリコンシリエーション・フィールドの変更が含まれる場合、水平表スキーマおよびそのエンティティ定義でも対応する変更を行う必要があります。

6.2.63 アップグレード後に「管理」をクリックすると無害なエラーがログに記録される

Oracle Identity Managerをリリース9.1.0.1から11gリリース1 (11.1.1)にアップグレードした後、管理およびユーザー・コンソールで「管理」リンクをクリックすると、次のエラーがログに記録されます。

<Error> <oracle.adfinternal.view.page.editor.utils.ReflectionUtility>
<WCS-16178> <Error instantiating class - oracle.adfdtinternal.view.faces.portlet.PortletDefinitionDTFactory>

このエラーは無害で機能が失われることはないため、無視してもかまいません。

6.2.64 プロビジョニングされたユーザーのアクセス・ポリシーを介したプロビジョニングが失敗する

ユーザーがすでにプロビジョニングされているときに、ターゲット・ドメインに対するプロビジョニングをトリガーするユーザーにロールを割り当てようとすると、プロビジョニングが開始されません。しかし、ユーザーがまだプロビジョニングされていないときにユーザーにロールを割り当てると、プロビジョニングは正常に行われます。

この問題を回避するには:

1. Design Consoleでコネクタ固有のユーザー・フォームを開きます。

2. コネクタの新規バージョンを作成し、「Edit」を選択します。

3. 「Properties」タブをクリックし、サーバー(ITResourceLookupField)をクリックします。「Add Property」をクリックします。

4. プロパティに「Required」を追加し、trueを指定します。「Make Version Active」をクリックし、「Save」をクリックします。

5. Oracle Identity Manager管理およびユーザー・コンソールにログインします。

6. 「システム・プロパティ」にナビゲートします。「リソースの複数のインスタンスのアクセス・ポリシー・ベースのプロビジョニングの許可」システム・プロパティを検索します。このプロパティの値をTRUEに変更します。

7. Oracle Identity Managerを再起動します。

プロビジョニングされたユーザーをプロビジョニングし、同じITリソース・タイプのアクセス・ポリシーを介してプロビジョニングしてみると、プロビジョニングは成功します。

6.2.65 Oracle Identity Managerの管理対象サーバーの起動時に無害な警告メッセージが表示される

Oracle Identity Managerの管理対象サーバーの起動時に、次のようなメッセージが複数記録されます。

<Mar 30, 2011 6:51:01 PM PDT> <Warning> <oracle.iam.platform.kernel.impl>
<IAM-0080071>
<Preview stage is not supported in kernel and found an event handler with name ProvisionAccountPreviewHandler implemented by the class oracle.iam.accesspolicy.impl.handlers.provisioning.ProvisionAccountPreviewHandlerfor this stage. It will be ignored.>

これらの警告メッセージは無害で機能が失われることはないため、無視してもかまいません。

6.2.66 デプロイメント・マネージャの実行時に無害なメッセージが表示される

デプロイメント・マネージャの実行時に、ヘッダー「XUL SYNTAX: ID競合」のあるメッセージが表示されます。

このメッセージは無害で機能が失われることはないため、無視してもかまいません。メッセージを閉じて続行してください。

6.2.67 JREプラグイン1.6_23を備えたMicrosoft Internet Explorer 7を使用したデプロイメント・マネージャのエクスポートが開始時に失敗する

Oracle Identity Managerを以前のリリースから11gリリース1 (11.1.1)にアップグレードした後、JREプラグイン1.6_23を備えたMicrosoft Internet Explorer 7 Webブラウザを使用して管理およびユーザー・コンソールを開き、デプロイメント・マネージャを使用してファイルをエクスポートしようとすると、エラーが表示され、エクスポートを続行できません。

この問題を回避するには、次のようなWebブラウザとプラグインの組合せを使用します。

- 64ビットのコンピュータ上のMozilla Firefox 3.6とJREバージョン1.6_23

- Microsoft Internet Explorer 7とJREバージョン1.5

- Microsoft Internet Explorer 8とJREバージョン1.6_18

- Microsoft Internet Explorer 7とJREバージョン1.6_24

6.2.68 「国」属性の値が2文字を超えるとMicrosoft Active Directoryでユーザー作成が失敗する

Oracle Identity ManagerのLDAP対応のデプロイメントでは、「国」属性の値が2文字を超えると、Microsoft Active Directory (AD)サーバーでユーザー作成が失敗します。ADは、ISO 3166標準に基づいて「国」属性には2文字(USなど)を規定しています。

6.2.69 XMLファイル内でスケジュール済タスク・エントリより前にスケジュール済ジョブ・エントリがある場合、デプロイメント・マネージャのインポートが失敗する

Oracle Identity Manager 11gリリース1 (11.1.1)では、スケジュール済ジョブはスケジュール済タスクに依存しています。したがって、スケジュール済ジョブの前にスケジュール済タスクをインポートする必要があります。

この結果、XMLファイルでスケジュール済タスク・エントリより前にスケジュール済ジョブ・エントリがある場合、デプロイメント・マネージャを使用したXMLのインポートが失敗し、次のエラー・メッセージが表示されます。

[exec] Caused By: oracle.iam.scheduler.exception.SchedulerException: Invalid ScheduleTask definition
[exec] com.thortech.xl.ddm.exception.DDMException

この問題を回避するには、XMLファイルを開き、すべてのスケジュール済タスク・エントリをスケジュール済ジョブ・エントリの上に移動します。

6.2.70 リソースの取消しに必要なターゲット・ユーザーの権限

アイデンティティ・ユーザー管理者およびリソース管理者ロールを使用して管理者およびユーザー・コンソールにログインする場合、リソースをユーザーに直接プロビジョニングしてから、リソースをユーザーから取り消そうとすると、エラー・メッセージが表示されます。

この問題を回避するには、自分(ログインしたユーザー)がターゲット・ユーザー(user1など)に対する書込み権限を持つ必要があります。これを行うには:

1. ロール(role1など)を作成し、自分にこのロールを割り当てます。

2. 組織(org1など)を作成し、role1を管理グループとして割り当てます。

3. ユーザーuser1を変更し、その組織をorg1に変更します。これで、リソースをuser1から取り消すことができるようになります。

6.2.71 Oracle Identity Managerのアップグレード・バージョンにリコンシリエーション・ルールがないために信頼できるソース・リコンシリエーションでリコンシリエーション・イベントが失敗する

Oracle Identity Managerを前のリリースから11g リリース1 (11.1.1)にアップグレードすると、リコンシリエーション・ルールがないために、GTCを使用した信頼できるソース・リコンシリエーションなど、信頼できるソース・リコンシリエーションでリコンシリエーション・イベントが失敗し、次のエラー・メッセージが表示されます。

<Mar 31, 2011 6:27:41 PM CDT> <Info> <oracle.iam.reconciliation.impl>
<IAM-5010006> <The following exception occurred: {0}
oracle.iam.platform.utils.SuperRuntimeException:
Error occurred in XL_SP_RECONEVALUATEUSER while processing Event No 3
Error occurred in XL_SP_RECONUSERMATCH while processing Event No 3
One or more input parameter passed as null

この問題を回避するには:

1. リソース・オブジェクトのリコンシリエーション・ルールを作成します。

2. Design Consoleの「Resource Object」フォームで、「Create Reconciliation Profile」をクリックします。

6.2.72 Oracle Identity Managerの管理対象サーバーの起動時のXML検証エラー

Oracle Identity Managerの管理対象サーバーの起動時に、次のエラー・メッセージがログに記録されます。

<Mar 29, 2011 2:49:31 PM PDT> <Error> <oracle.iam.platform.kernel.impl>
<IAM-0080075> <XML schema validation failed for XML/metadata/iam-features-callbacks/event_configuration/EventHandlers.xml and it will not be loaded by kernel. >

<Mar 29, 2011 2:49:32 PM PDT> <Error> <oracle.iam.platform.kernel.impl>
<IAM-0080075> <XML schema validation failed for XML/metadata/iam-features-OIMMigration/EventHandlers.xml and it will not be loaded by kernel. >

このエラー・メッセージは無害で機能が失われることはないため、無視してもかまいません。

6.2.73 Design Consoleの「Data Object Manager」フォームでアダプタ・マッピングを表示または編集できない

Design Consoleの「Data Object Manager」フォームの「Map Adapters」タブで「Map」をクリックすると、個々のエンティティ・アダプタ・マッピングを編集できるダイアログ・ボックスが表示されます。しかし、マップ対象のユーザー・オブジェクトのフィールドが含まれるリストは空の状態で表示されます。この結果、個々のエンティティ・アダプタ・マッピングを表示または編集できません。

Oracle Identity Manager 11g リリース1 (11.1.1)では、エンティティ・アダプタの使用は非推奨ですが、後方互換性のみのために制限付きのサポートが依然として提供されています。新規シナリオまたは変更されたシナリオすべてに対してイベント・ハンドラを使用する必要があります。

6.2.74 参照整合性プラグインの有効化または無効化時に割当てまたは取消し操作のロール・メンバーシップが更新されない

複数ディレクトリ・デプロイでは、セカンダリ・サーバーはOIDである必要があります。プライマリ・サーバーはOIDでもADでもかまいません。たとえば、ユーザーをOIDまたはADプライマリ・サーバーに格納し、ロールはOIDセカンダリ・サーバーに格納できます。参照整合性プラグインを有効化または無効化しても、割当てまたは取消し操作のロール・メンバーシップは更新されません。

6.2.75 ルールのデータ・レベルが1に設定されている場合、デプロイメント・マネージャのインポートが失敗する

データ・レベルが1に設定されている場合、Oracle Identity Managerデータベース内のエントリを更新できません。デプロイメント・マネージャXMLをインポートしようとすると、次のエラーが表示されます。

Class/Method: tcTableDataObj/updateImplementation Error :The row cannot be updated.
[2011-04-06T07:25:36.583-05:00] [oim_server1] [ERROR] []
[XELLERATE.DDM.IMPORT] [tid: [ACTIVE].ExecuteThread: '6' for queue:
'weblogic.kernel.Default (self-tuning)'] [userId: xelsysadm] [ecid:
cad00d8aeed4d8fc:-67a4db1a:12f2abbac4b:-8000-000000000000018e,0] [APP:
oim#11.1.1.3.0] The security level for this data item indicates that it cannot be updated.

この問題を回避するには、XMLファイルを開き、次のようにルールのデータ・レベルを1から0に変更します。

<RUL_DATA_LEVEL>0</RUL_DATA_LEVEL>

6.2.76 変更されていない属性がリコンシリエーション・データに表示される

LDAP同期が有効でMicrosoft Active Directory (AD)がディレクトリ・サーバーであるOracle Identity Managerデプロイメントでは、管理およびユーザー・コンソールの「イベント管理」ページのリコンシリエーション・データ・タブに、変更された属性のみが表示されるのではなく、調整されたユーザーのすべての属性が表示されます。これは、ADの変更ログの処理方法が原因です。この方法では、任意の属性が変更されるとエントリ全体が更新済としてマークされます。したがって、Oracle Virtual Directory (OVD)は完全なエントリを戻します。リコンシリエーションの結果としてどの属性が変更されたかを確認する方法はありません。

6.2.77 リカバリ対象のスケジュール済ジョブがあるときにスケジューラ・サービスを起動すると無害なエラーが表示される

スケジューラ・サービスを起動したときに、リカバリされていないスケジュール済ジョブがあると、次のエラーがoim_diagnostic logに記録されることがあります。

Caused by: java.lang.NullPointerException
at
org.quartz.SimpleTrigger.computeNumTimesFiredBetween(SimpleTrigger.java:800)
at org.quartz.SimpleTrigger.updateAfterMisfire(SimpleTrigger.java:514)
at
org.quartz.impl.jdbcjobstore.JobStoreSupport.doUpdateOfMisfiredTrigger(JobStor
eSupport.java:944)
at
org.quartz.impl.jdbcjobstore.JobStoreSupport.recoverMisfiredJobs(JobStoreSuppo
rt.java:898)
at
org.quartz.impl.jdbcjobstore.JobStoreSupport.recoverJobs(JobStoreSupport.java:
780)
at
org.quartz.impl.jdbcjobstore.JobStoreSupport$2.execute(JobStoreSupport.java:75
2)
at
org.quartz.impl.jdbcjobstore.JobStoreSupport$40.execute(JobStoreSupport.java:3
628)
at
org.quartz.impl.jdbcjobstore.JobStoreSupport.executeInNonManagedTXLock(JobStor
eSupport.java:3662)
at
org.quartz.impl.jdbcjobstore.JobStoreSupport.executeInNonManagedTXLock(JobStor
eSupport.java:3624)
at
org.quartz.impl.jdbcjobstore.JobStoreSupport.recoverJobs(JobStoreSupport.java:
748)
at
org.quartz.impl.jdbcjobstore.JobStoreSupport.schedulerStarted(JobStoreSupport.
java:573)

このエラーは無害で機能が失われることはないため、無視してもかまいません。

アップグレード環境では、次回、一部のスケジュール済ジョブがトリガーされるタイミングが定義されていません。この結果、Quartzコードにnullが入力されます。これは、Quartzの以前のバージョンでは正常に処理されていませんでした。この問題はQuartzバージョン1.6.3では修正されているため、このバージョンのQuartzにアップグレードすると、このエラーは生成されません。

6.2.78 信頼できるソースGTCのリコンシリエーション・マッピングで属性名を完全に表示できない

信頼できるGTC(フラット・ファイルなど)を作成する場合、OIMユーザーの右下の列の幅が十分でないため、多くの属性の名前が完全に表示されません。たとえば、属性名が「LDAP Organization」と「LDAP Organization Unit」であるのに、これら2つのエントリは「LDAP Organizati」として表示されます。

この問題を回避するには、属性に対して「マッピング」ボタンをクリックします。完全な属性名が表示された「フィールド情報の指定」ダイアログ・ボックスが表示されます。

6.2.79 データベース接続テストで無害なエラーがログに記録される

XIMDDでデータベース接続テストを実行すると、次のエラーがログに複数記録されます。

<Apr 10, 2011 7:45:20 PM PDT> <Error> <Default> <J2EE JMX-46335> <MBean attribute access denied.
MBean: oracle.logging:type=LogRegistration
Getter for attribute Application
Detail: Access denied. Required roles: Admin, Operator, Monitor, executing
subject: principals=[REQUEST TEMPLATE ADMINISTRATORS, SYSTEM ADMINISTRATORS, APPROVAL POLICY ADMINISTRATORS, oimusers, xelsysadm, PLUGIN ADMINISTRATORS]
java.lang.SecurityException: Access denied. Required roles: Admin, Operator, Monitor, executing subject: principals=[REQUEST TEMPLATE ADMINISTRATORS, SYSTEM ADMINISTRATORS, APPROVAL POLICY ADMINISTRATORS, oim users, xelsysadm, PLUGIN ADMINISTRATORS]

エラーがログに記録されるたびに、Beanの名前は異なりますが、エラー内容は同じです。これらのエラーにもかかわらず、テストは合格します。これらのエラーは無害で機能が失われることはないため、無視してもかまいません。

6.2.80 デプロイメント・マネージャを介したGTCプロバイダのインポート時にMDS検証エラーが発生する

デプロイメント・マネージャを使用してGTCプロバイダをインポートすると、MDS検証エラーが発生します。

この問題を回避するには、デプロイメント・マネージャを介してGTCプロバイダをインポートしないでください。デプロイメント・マネージャのXMLファイルにGTCプロバイダのタグが含まれる場合、デプロイメント・マネージャを使用してこれを削除し、XMLの残りをインポートしてください。MDSインポート・ユーティリティを使用して、GTCプロバイダ・タグのあるXMLファイルを個別にインポートしてください。これを行うには、次の手順を実行します。

1. デプロイメント・マネージャを介してインポートされるXMLファイルに<GTCProvider>タグが含まれる場合、これらのタグとともにその下にあるコンテンツをすべて削除します。
次に、インポートする元のXMLファイルの例を示します。

<?xml version = '1.0' encoding = 'UTF-8'?>
<xl-ddm-data version="2.0.1.0" user="XELSYSADM"
database="jdbc:oracle:thin:@localhost:5521:myps12"
exported-date="1302888552341" description="sampleGTC"><GTCProvider
repo-type="MDS" name="InsertIntoTargetList"
mds-path="/db/GTC/ProviderDefinitions"
mds-file="InsertIntoTargetListProvTransport.xml"><completeXml><Provider><Provi
der>
<Provisioning>
<ProvTransportProvider
class="provisioningTransportProvider.InsertIntoTargetList"
name="InsertIntoTargetList">
<Configuration>
<Parameter datatype="String" name="targetServerName"
type="Runtime" encrypted="NO" required="YES"/>
<Response code="FUNCTIONALITY_NOT_SUPPORTED"
description="Functionality not supported"/>
<Response code="TARGET_SERVER_NAME_MISSING" description="Target
server name is missing"/>
<Response code="TARGET_SERVER_NAME_STARTSWITH_A"
description="Target server name starts with A, from XML"/>
<Response code="PROBLEM_WHILE_INITIALIZAING" description="Problem
occured while intializing Provider instance"/>
</Configuration>
</ProvTransportProvider>
</Provisioning>
</Provider></Provider></completeXml></GTCProvider><GTCProvider
repo-type="MDS" name="PrepareDataHMap" mds-path="/db/GTC/ProviderDefinitions"
mds-file="PrepareDataHMapProvFormat.xml"><completeXml><Provider><Provider>
<Provisioning>
<ProvFormatProvider class="provisioningFormatProvider.PrepareDataHMap"
name="PrepareDataHMap">
<Configuration>
<DefaultAttribute datatype="String" name="testField" size="40"
encrypted="NO"/>
<Response code="INCORRECT_PROCESS_DATA" description="Incorrect
process data received from GTC provisioning framework"/>
<Response code="PROCESSING_ISSUE" description="Processing issue
in Preparing provisioning input, check logs"/>
</Configuration>
</ProvFormatProvider>
</Provisioning>
</Provider></Provider></completeXml></GTCProvider><GTCProvider
repo-type="MDS" name="IsValidOrgInOIM" mds-path="/db/GTC/ProviderDefinitions"
mds-file="IsValidOrgInOIM.xml"><completeXml><Provider><Provider>
<Validation>
<ValidationProvider class="validationProvider.IsValidOrgInOIM"
name="IsValidOrgInOIM">
<Configuration>
<Parameter datatype="String" name="maxOrgSize"/>
</Configuration>
</ValidationProvider>
</Validation>
</Provider></Provider></completeXml></GTCProvider><GTCProvider
repo-type="MDS" name="ConvertToUpperCase"
mds-path="/db/GTC/ProviderDefinitions"
mds-file="ConvertToUpperCase.xml"><completeXml><Provider><Provider>
<Transformation>
<TransformationProvider
class="transformationProvider.ConvertToUpperCase" name="ConvertToUpperCase">
<Configuration>
<Parameter type="Runtime" datatype="String" required="YES"
encrypted="NO" name="Input"/>
<Response code="errorRespNullInput" description="Input String is
Missing"/>
</Configuration>
</TransformationProvider>
</Transformation>
</Provider></Provider></completeXml></GTCProvider><Resource repo-type="RDBMS"
name="SAMPLEGTC_GTC">....</Resource><Process repo-type="RDBMS"
name="SAMPLEGTC_GTC">
...........
</Process><Form repo-type="RDBMS" name="UD_SAMPLEGT" subtype="Process
Form">.....
</Form>....</xl-ddm-data>

2. デプロイメント・マネージャを介してXMLファイルの残りの部分をインポートします。
次に、元のXMLファイルから<GTCProvider>タグを削除したXMLファイルの例を示します。デプロイメント・マネージャを使用してこのXMLファイルをインポートします。

<?xml version = '1.0' encoding = 'UTF-8'?>
<xl-ddm-data version="2.0.1.0" user="XELSYSADM"
database="jdbc:oracle:thin:@localhost:5521:myps12"
exported-date="1302888552341" description="sampleGTC"><Resource
repo-type="RDBMS" name="SAMPLEGTC_GTC">....</Resource><Process
repo-type="RDBMS" name="SAMPLEGTC_GTC">
...........
</Process><Form repo-type="RDBMS" name="UD_SAMPLEGT" subtype="Process
Form">.....
</Form>....</xl-ddm-data>

次に、削除したXMLコンテンツを示します。

<GTCProvider
repo-type="MDS" name="InsertIntoTargetList"
mds-path="/db/GTC/ProviderDefinitions"
mds-file="InsertIntoTargetListProvTransport.xml"><completeXml><Provider><Provider>
<Provisioning>
<ProvTransportProvider
class="provisioningTransportProvider.InsertIntoTargetList"
name="InsertIntoTargetList">
<Configuration>
<Parameter datatype="String" name="targetServerName"
type="Runtime" encrypted="NO" required="YES"/>
<Response code="FUNCTIONALITY_NOT_SUPPORTED"
description="Functionality not supported"/>
<Response code="TARGET_SERVER_NAME_MISSING" description="Target
server name is missing"/>
<Response code="TARGET_SERVER_NAME_STARTSWITH_A"
description="Target server name starts with A, from XML"/>
<Response code="PROBLEM_WHILE_INITIALIZAING" description="Problem
occured while intializing Provider instance"/>
</Configuration>
</ProvTransportProvider>
</Provisioning>
</Provider></Provider></completeXml></GTCProvider>

<GTCProvider
repo-type="MDS" name="PrepareDataHMap" mds-path="/db/GTC/ProviderDefinitions"
mds-file="PrepareDataHMapProvFormat.xml"><completeXml><Provider><Provider>
<Provisioning>
<ProvFormatProvider class="provisioningFormatProvider.PrepareDataHMap"
name="PrepareDataHMap">
<Configuration>
<DefaultAttribute datatype="String" name="testField" size="40"
encrypted="NO"/>
<Response code="INCORRECT_PROCESS_DATA" description="Incorrect
process data received from GTC provisioning framework"/>
<Response code="PROCESSING_ISSUE" description="Processing issue
in Preparing provisioning input, check logs"/>
</Configuration>
</ProvFormatProvider>
</Provisioning>
</Provider></Provider></completeXml></GTCProvider>

<GTCProvider
repo-type="MDS" name="IsValidOrgInOIM" mds-path="/db/GTC/ProviderDefinitions"
mds-file="IsValidOrgInOIM.xml"><completeXml><Provider><Provider>
<Validation>
<ValidationProvider class="validationProvider.IsValidOrgInOIM"
name="IsValidOrgInOIM">
<Configuration>
<Parameter datatype="String" name="maxOrgSize"/>
</Configuration>
</ValidationProvider>
</Validation>
</Provider></Provider></completeXml></GTCProvider>

<GTCProvider
repo-type="MDS" name="ConvertToUpperCase"
mds-path="/db/GTC/ProviderDefinitions"
mds-file="ConvertToUpperCase.xml"><completeXml><Provider><Provider>
<Transformation>
<TransformationProvider
class="transformationProvider.ConvertToUpperCase" name="ConvertToUpperCase">
<Configuration>
<Parameter type="Runtime" datatype="String" required="YES"
encrypted="NO" name="Input"/>
<Response code="errorRespNullInput" description="Input String is
Missing"/>
</Configuration>
</TransformationProvider>
</Transformation>
</Provider></Provider></completeXml></GTCProvider>

3. <GTCProvier>タグに基づいて削除したXMLコンテンツを分けます。次に、最初の<GTCProvider>タグの例を示します。

<GTCProvider repo-type="MDS" name="InsertIntoTargetList"
mds-path="/db/GTC/ProviderDefinitions"
mds-file="InsertIntoTargetListProvTransport.xml"><completeXml><Provider><Provi
der>
<Provisioning>
<ProvTransportProvider
class="provisioningTransportProvider.InsertIntoTargetList"
name="InsertIntoTargetList">
<Configuration>
<Parameter datatype="String" name="targetServerName"
type="Runtime" encrypted="NO" required="YES"/>
<Response code="FUNCTIONALITY_NOT_SUPPORTED"
description="Functionality not supported"/>
<Response code="TARGET_SERVER_NAME_MISSING" description="Target
server name is missing"/>
<Response code="TARGET_SERVER_NAME_STARTSWITH_A"
description="Target server name starts with A, from XML"/>
<Response code="PROBLEM_WHILE_INITIALIZAING" description="Problem
occured while intializing Provider instance"/>
</Configuration>
</ProvTransportProvider>
</Provisioning>
</Provider></Provider></completeXml></GTCProvider>
Resultant xml after removal of tags surronding inner <Provider> tag:
<Provider>
<Provisioning>
<ProvTransportProvider
class="provisioningTransportProvider.InsertIntoTargetList"
name="InsertIntoTargetList">
<Configuration>
<Parameter datatype="String" name="targetServerName"
type="Runtime" encrypted="NO" required="YES"/>
<Response code="FUNCTIONALITY_NOT_SUPPORTED"
description="Functionality not supported"/>
<Response code="TARGET_SERVER_NAME_MISSING" description="Target
server name is missing"/>
<Response code="TARGET_SERVER_NAME_STARTSWITH_A"
description="Target server name starts with A, from XML"/>
<Response code="PROBLEM_WHILE_INITIALIZAING" description="Problem
occured while intializing Provider instance"/>
</Configuration>
</ProvTransportProvider>
</Provisioning>
</Provider>

4. 削除した<GTCProvider>タグから、内側の<Provider>タグを囲むものをすべて削除します。つまり、内側の<Provider>タグの内側のコンテンツは保持します。<Provider>タグごとに、個別のXMLファイルを作成します。これにより、各<Provider>タグがルート要素である複数のXMLファイルが生成されます。
次に、内側の<Provider>タグの周りのタグを削除した後のXMLコンテンツの例を示します。

<Provider>
<Provisioning>
<ProvTransportProvider
class="provisioningTransportProvider.InsertIntoTargetList" name="InsertIntoTargetList">
<Configuration>
<Parameter datatype="String" name="targetServerName" type="Runtime" encrypted="NO" required="YES"/>
<Response code="FUNCTIONALITY_NOT_SUPPORTED" description="Functionality not supported"/>
<Response code="TARGET_SERVER_NAME_MISSING" description="Target server name is missing"/>
<Response code="TARGET_SERVER_NAME_STARTSWITH_A" description="Target server name starts with A, from XML"/>
<Response code="PROBLEM_WHILE_INITIALIZAING" description="Problem occured while intializing Provider instance"/>
</Configuration>
</ProvTransportProvider>
</Provisioning>
</Provider>

5. <Provider>タグがルート要素である、生成されたXMLファイルに、<GTCProvider>タグのmds-file属性値を使用して名前を付けます。たとえば、最初の<GTCProvider>タグがある最初のXMLファイルはInsertIntoTargetListProvTransport.xmlという名前にします。ファイル名はmds-file属性の値である必要があります。

6. 同様に、他のGTCプロバイダのXMLファイルも作成します。<GTCProvider>タグごとに1つのXMLファイルが存在する必要があります。

7. MDSユーティリティを使用してGTCプロバイダのXMLファイルをインポートします。

6.2.81 サイズが4000文字を超えると暗号化されたユーザー定義フィールド(UDF)を格納できない

暗号化されたUDFは、サイズが4000文字を超えると格納できません。これは、暗号化により、列の幅が自動的に約1.5倍になり、属性のサイズが許容範囲の幅である4000を超えるためです。この結果、UDFの型はCLOBデータ型に自動的にプロモートされます。Oracle Identity Manager 11g リリース1 (11.1.1)では、これは例外としては捕捉されず、後でエラーが表示されることがあります。この問題には、次のパッチ・リリースで対応する予定です。

ただし、最終的な幅が4000文字を超えないで暗号化された属性は格納できます。幅を指定する場合、1.5倍の増加を考慮する必要があります。つまり、約2500文字を超えないようにする必要があります。

6.2.82 コールバック・サービスの失敗によってリクエスト承認が失敗する

SSLがOAAMサーバーでは有効だがOracle Identity ManagerおよびSOAサーバーでは有効ではない環境では、リクエストを作成すると、SOA側でリクエスト・レベルの承認は成功しますが、UIのどこにも操作レベルの承認が表示されません。Oracle Identity Managerリクエストの承認ワークフローを提供するSOAコンポジットがリクエスト・コールバックWebサービスを呼び出し、ワークフローが承認されるか却下されるかを示そうとすると、Webサービスの呼出しが失敗し、次のエラーが表示されます。

Unable to dispatch request to
http://slc402354.mycompany.com:14000/workflowservice/CallbackService due to exception[[
javax.xml.ws.WebServiceException:
oracle.fabric.common.PolicyEnforcementException: PolicySet Invalid: WSM-06162
PolicyReference The policy referenced by URI
"oracle/wss11_saml_token_with_message_protection_client_policy" could not be
retrieved as connection to Policy Manager cannot be established at
"t3s://slc402354:14301" due to invalid configuration or inactive state.

このエラーは、指定されたポートでOWSMがポリシー・マネージャに接続できないことを示します。このポートはSSLモードのOAAMサーバー用ですが、このサーバーは停止されています。この問題が発生するのは、SSLがOAAMサーバーでは有効だがOracle Identity ManagerおよびSOAサーバーでは有効ではなく、ポリシー・マネージャがこのサーバーでもターゲット指定されていることが原因です。SSL対応のポリシー・マネージャがある場合、OWSMはSSL以外のポートは使用しません。この設定では、SSLはOAAMに対してのみ有効であり、他のサーバーに対しては有効ではありません。したがって、唯一使用可能なWSMポリシー・マネージャはOAAM上のものです。OAAMサーバーが停止しているため、ポリシー・マネージャへの接続は確立されず、その結果、コールは失敗します。

この問題を回避するには、OAAMサーバーを起動してから、リクエストを作成します。

注意:

次の場合、この問題は発生しません。

- OAAMサーバーがSSL対応ではありません。

- 起動されて実行中である他のサーバー(Oracle Identity ManagerやSOAサーバーなど)でSSLが有効です。

6.2.83 iPlanetディレクトリ・サーバーを使用したユーザー/ロール増分リコンシリエーションを介してローカライズ済表示名が調整されない

iPlanetがディレクトリ・サーバーであるLDAP同期に対応したOracle Identity Managerデプロイメントで、次の問題が発生します。

- ユーザー/ロール増分リコンシリエーションを介してローカライズ済表示名がOracle Identity Managerで調整されません。

- 「表示名」属性のローカライズ済値はOracle Identity Managerに戻されますが、「表示名」の元のベース値は失われ、iPlanetから受け取ったローカライズ済値に置き換えられます。

6.2.84 ASCII以外の文字を使用したLDAPロール階層およびロール・メンバーシップ・リコンシリエーションによってOracle Identity Manager内の変更が調整されない

ASCII以外の文字を使用したLDAPロール階層およびロール・メンバーシップ・リコンシリエーション・ジョブによって、Oracle Identity Managerにロール階層およびロール・メンバーシップの変更が取り込まれません。この問題は、増分リコンシリエーションにのみ該当します。

6.2.85 すべてのオブジェクトがエクスポート対象として選択されている場合、オブジェクトのインポートが失敗する

Oracle Identity Manager 11gリリース1 (11.1.1)のアップグレード環境では、「すべて選択」オプションを選択してオブジェクトをエクスポートする場合、オブジェクトのインポートが失敗する可能性があります。エクスポート対象としてすべてのオブジェクトを選択すると、対応するXMLファイルのサイズが大きくなります。これが250万レコードを超えると、有効ではなくなります。この結果、インポートは失敗します。ただし、データが小さく、生成されたXMLファイルが250万レコードを超えない場合、すべてのオブジェクトを選択しても正常に機能します。

この問題を回避するには、エクスポート対象のオブジェクトの論理単位を小さくします。たとえば、システム内に20のリソース・オブジェクトがある場合、4つまたは5つのリソース・オブジェクトをすべての依存性および子オブジェクトとともにXMLファイルに選択し、エクスポートします。次に、別の5つのリソース・オブジェクトを新規XMLファイルに選択します。同様に、GTCやアダプタなどの他のすべてのオブジェクトについても、小さい論理単位で個別XMLファイルにエクスポートします。論理単位グループの例は、次のとおりです。

- リソース・オブジェクト、プロセス定義フォーム、アダプタ、ITリソース、参照定義およびロール

- 組織、アテステーションおよびパスワード・ポリシー

- アクセス・ポリシーおよびルール

- GTCおよびリソース・オブジェクト

6.2.86 アップグレード後に無害な監査エラーがログに記録される

Oracle Identity Managerリリース9.1.0から11g リリース1 (11.1.1)にアップグレードした後、監査エラーがログに記録されます。このような監査エラーの例は、次のとおりです。

IAM-0050001
oracle.iam.platform.async.TaskExecutionException: java.lang.Exception: Audit
handler failed
at com.thortech.xl.audit.engine.jms.XLAuditMessage.execute(XLAuditMessage.java:59)

これらのエラーは無害で機能が失われることはないため、無視してもかまいません。

6.2.87 既存のデータのサイズが新規列の長さより大きい場合、コネクタのアップグレードが失敗する

一部のコネクタの現在のリリースでは、一部のプロセス・フォーム・フィールドのサイズが小さくなっています。たとえば、Microsoft Active Directoryコネクタ・リリース9.1.1.5のUD_ADUSER_MNAMEフィールドの長さは、コネクタのリリース9.0.4.16の80文字から6文字に短縮されています。これらの列またはフィールドの既存のデータの長さはすでに、新しい列の長さよりサイズが大きくなっています。この結果、コネクタのアップグレードが失敗し、次のエラーがログに記録されます。

<Apr 16, 2011 4:52:37 PM GMT+05:30> <Error> <XELLERATE.DATABASE> <BEA-000000>
<ALTER TABLE UD_ADUSER MODIFY UD_ADUSER_MNAME VARCHAR2(6) java.sql.SQLException: ORA-01441: cannot decrease column length because some value is too big

この問題を回避するには:

1. データベースのバックアップが作成されていることを確認します。

2. バックアップしたデータベースを復元します。

3. ログを確認し、「ORA-01441: 一部の値が長すぎる例外のため、列を短くすることができません。」を検索します。UD_ADUSER_MNAMEなどのフィールド名を書き留めます。

4. アップグレード用として使用しているデプロイメント・マネージャXMLファイルを開きます。<SDC_SQL_LENGTH>タグ内のフォーム・フィールドを検索し、ベース・バージョンの長さに変更します。ベース・バージョンの長さは、ベース・コネクタのデプロイメント・マネージャXML内で確認できます。

5. アップグレードを再試行します。

6.2.88 ファイルがインポートされていないときにデプロイメント・マネージャでコネクタ・アーティファクトの数が増加する

コネクタをアップグレードし、ベース・バージョンと最新バージョン間でコネクタ・アーティファクトをマップし、アップグレードするコネクタ・オブジェクトを選択し、デプロイメント・マネージャを使用してオブジェクトをインポートせずにアップグレードを終了すると、左側のパネル内のコネクタ・アーティファクトの数が実際の数より多く表示されます。このプロセスを繰り返すと、アーティファクトの数が増え続けます。これは既知の問題であり、機能が失われることはありません。

6.2.89 JARのアップロード・ユーティリティを使用したJARファイルのアップロードが失敗する

Oracle Identity ManagerでSSLが有効である場合、JARのアップロード・ユーティリティを使用してJARファイルをアップロードすると失敗し、次のエラーが表示されます。

Error occurred in performing the operation:
Exception in thread "main" java.lang.NullPointerException at oracle.iam.platformservice.utils.JarUploadUtility.main(JarUploadUtility.java:229)

Oracle Identity ManagerでSSLが有効である場合、サーバーのURLには正確なホスト名またはIPアドレスが含まれる必要があります。ホスト名としてローカル・ホストが使用されている場合、このエラーが発生します。

この問題を回避するには、正確なサーバーのURLを使用します。

6.2.90 データベース・ユーザーのパスワードの変更が原因でOracle Identity ManagerのデータおよびMTアップグレードが失敗する

元のOracle Identity Managerリリース9.xデータベースをアップグレードしていないが、新規データベースにエクスポート/インポートすることを選択する場合、アップグレードに使用されるOIM_HOME/xellerate/config/xlconfig.xmlファイル内のデータベース接続設定、スキーマ名およびパスワードが正しいことを確認する必要があります。

この問題を回避するには、xlconfig.xmlファイル内のOracle Identity Managerデータベース情報を変更します。このファイルを更新する前に、バックアップを作成する必要があります。新規データベース情報を使用してファイルを更新するには、次のように、<url>、<username>および<password ...>タグで、データベースがインポートされている場所の情報を変更します。

<DirectDB>
<driver>oracle.jdbc.driver.OracleDriver</driver>
<url>jdbc:oracle:thin:@localhost:1522:oimdb</url>
<username>oimadm</username>
<password encrypted="false"><NEW_PASSWORD_FOR_OIM_DB_USER></password>
<maxconnections>5</maxconnections>
<idletimeout>360</idletimeout>
<checkouttimeout>1200</checkouttimeout>
<maxcheckout>1000</maxcheckout>
</DirectDB>

6.2.91 ロールおよび組織用の「管理詳細」ページで未保存のUDFの回復がサポートされない

管理およびユーザー・コンソール内のロールおよび組織用の「管理詳細」ページでは、未保存のUDF属性値の回復がサポートされません。したがって、ロールおよび組織用のUDF属性値を変更するときに、これらの属性に対する変更を保存しない場合、次のいずれかを実行します。

- 変更されたロールまたは組織があるタブを閉じます。続行するかどうかを尋ねる警告メッセージが表示されます。「はい」をクリックすると、未保存の変更がすべて取り消されます。

- 変更された属性を手動で編集して元の状態に戻すことができます。エンティティの保存は、その他に加えられた変更に適用されます。

6.2.92 リクエストが送信された後でユーザー・ステータスの変更確認なしでリソースがユーザーにプロビジョニングされる

リクエストが送信された後、リクエストが関連付けられたユーザー(受益者、リクエスタまたは承認者)が無効化または削除されると、リクエストが承認された後にユーザー・ステータス(無効または削除など)を確認せずにリソースがユーザーにプロビジョニングされます。

6.2.93 JDK 6を備えた64ビットのMicrosoft Windowsでユーザーを作成しようとするとUCP接続プールの起動が失敗する

JDK 6を使用したMicrosoft Windows 64ビット・プラットフォームでのCRUD操作がNIO (Non Input Output)モードで失敗します。これは、Microsoft Windows Vista 2008でIPv6スタックをサポートするJDK 6の制限が原因です。このサポートは、JDK 7のビルドb36以降に追加されています。JDK 7の場合、OVD NIOモードで動作します。

この問題を回避するには:

1. OVDサーバーで、NIOモードをオフにします。これを行うには、次の手順を実行します。

1. OracleInstance/config/OVD/ovd1/listeners.os_xmlファイルを開きます。

2. 次の場所に<useNIO>false</useNIO>を追加します。

<ldap id="LDAP Endpoint" version="0">
<port>6501</port>
...
<socketOptions>
...
</socketOptions>
<useNIO>false</useNIO>
</ldap>

3. listeners.os_xmlファイルを保存します。

2. OVDサーバーを再起動します。

6.2.94 データ・サンプルおよびソースとともにJRockitをインストールするとconfig.shコマンドが失敗する

デモ・サンプルおよびソースとともにjrockit-jdk1.6.0_24-R28.1.3-4.0.1-linux-x64.binをインストールし、Linux 64ビットコンピュータでwls1035_generic.jarを使用してOracle WebLogic Serverをインストールし、$ORACLE_HOME/bin/ディレクトリからconfig.shを実行してOracle Identity Manager構成ウィザードを実行すると、Oracle Universal Installerが起動せず、次のエラー・メッセージが表示されます。

config.sh: line 162:  9855 Segmentation fault $INSTALLER_DIR/runInstaller-weblogicConfig ORACLE_HOME="$ORACLE_HOME" -invPtrLoc$ORACLE_HOME/oraInst.loc -oneclick $COMMANDLINE -Doracle.config.mode=true

6.2.95 Oracle Identity Manager 11g リリース1(11.1.1)で予期しないメモリー使用量になる

ユーザー編成をバルク実行するスケジュール済タスク(EndDateSchedulerTaskやStartDateSchedulerTaskなど)を実行すると、Oracle Identity Manager 11g リリース1 (11.1.1)で大規模なメモリー領域が使用されることがあります。これにより、メモリー不足の問題が発生する可能性があります。

これは既知の問題であり、現在のリリースには回避策がありません。

6.2.96 管理およびユーザー・コンソールに「レポート」リンクが存在しない

Oracle Identity Managerのインストール時にBIPが選択されていても、管理およびユーザー・コンソールの拡張管理の「管理」タブの下で、BI Publisherレポートを生成するための「レポート」リンクが削除されています。

6.2.97 割り当てられたユーザー・メンバーが削除されたロールを削除できない

ロール・メンバーシップを失効する前にロールのユーザー・メンバーが削除されている場合、ロールを削除できません。したがって、ユーザーを削除する前に、明示的に割り当てられているユーザー・ロール・メンバーシップを失効する必要があります。

6.2.98 ロールおよび組織でパスワード・タイプの文字列UDFがサポートされていない

ロールおよび組織のパスワード・タイプの文字列UDFの作成はサポートされていません。このようなUDFを作成しようとする場合、管理およびユーザー・コンソールでは、ロールまたは組織を作成できません。

6.2.99 デプロイメント・マネージャを使用したコネクタのインポート時のエラー

デプロイメント・マネージャを使用してコネクタをOracle Identity Managerデプロイメントから別のデプロイメントにインポートすると、次のようなエラーが発生することがあります。

[ERROR] [] [XELLERATE.WEBAPP]
[tid: [ACTIVE].ExecuteThread: '0' for queue: 'weblogic.kernel.Default
(self-tuning)'] [userId: xelsysadm] [ecid:
f9e72ab2a292a346:-421e2bf0:12f77f65b9a:-8000-0000000000000174,0] [APP:
oim#11.1.1.3.0] Class/Method: LoadDeploymentUtility/importSelected encounter
some problems: oracle.iam.reconciliation.exception.ConfigException: Profile
:AD User Trusted InvalidAttributes : [ObjectGUID][[
com.thortech.xl.ddm.exception.DDMException:
oracle.iam.reconciliation.exception.ConfigException: Profile :AD User Trusted
InvalidAttributes : [ObjectGUID]
at
com.thortech.xl.ejb.beansimpl.tcImportOperationsBean.performImport(tcImportOpe
.
rationsBean.java:1199)

この問題は、ユーザー・エンティティで作成されたUDF依存性がないことが原因です。この問題を回避するには、次のいずれかを実行します。

- コネクタXMLをインポートする前にシステム内にUDFを手動で作成します。

- デプロイメント・マネージャを介してユーザー・メタデータをエクスポートし、ターゲット環境にインポートします。これにより、ユーザー・エンティティで作成されたすべてのUDFが取り込まれます。ただし、要件が特定のUDFに限定される場合や、ターゲット・システムにすべてのUDFを取り込まない場合は、必要なUDFを手動で作成します。

6.2.100 ロールの変更後に「ローカライゼーションの管理」ダイアログ・ボックスが開かない

ロールの変更後、ロール詳細ページで「ローカライゼーションの管理」ボタンをクリックしても「ローカライゼーションの管理」ダイアログ・ボックスが開きません。

ロールの変更後に「ローカライゼーションの管理」ダイアログ・ボックスを開くには、ロール詳細ページを閉じてから再度開きます。

6.2.101 言語固有の表示名値を使用してユーザーを作成できない

LDAPサーバーがMicrosoft Active Directory (AD)であるOracle Identity Managerデプロイメントでは、OVDを介してADのUserManagementプラグイン・アダプタにoimLanguageパラメータを指定すると、ローカライズされた表示名値がサポートされます。しかし、フランス語(カナダ)またはスペイン語(中南米)で「表示名」属性の言語固有値が指定されている場合、これらの言語がoimLanguageに指定されていても、ユーザーを作成できません。また、言語固有の表示名なしでユーザーを作成するときに、ユーザーを変更してフランス語(カナダ)またはスペイン語(中南米)の表示名値を追加する場合も、同じ問題が発生します。

6.2.102 PeopleSoftリソース用としてユーザーによって作成されたリクエストに対してSoDチェックの結果が表示されない

PeopleSoft (PSFT)リソース用としてユーザーによって作成されたリクエストに対してSoDチェックの結果が表示されません。

この問題を回避するには:

1. PSFTコネクタXMLファイルを開きます。

2. <ITResource name = "PSFT Server">タグの下に次を追加します。

<ITResourceAdministrator>
<SUG_READ>1</SUG_READ>
<SUG_UPDATE>1296129050000</SUG_UPDATE>
<UGP_KEY UserGroup = "ALL USERS"/>
</ITResourceAdministrator>

3. PSFTコネクタXMLファイルを保存します。

4. PSFTサーバーITリソースに対する書込み権限を使用して、ALL USERSロールを手動で追加するか割り当てます。

6.2.103 XL.UnlockAfterシステム・プロパティおよびユーザーの自動ロック解除スケジュール・ジョブが機能しない

XL.UnlockAfterシステム・プロパティは、ロックされているユーザー・アカウントを指定時間後にロック解除する時間を決定します。無効な資格証明を使用したログイン試行の最大失敗回数に達したためにユーザー・アカウントがロックされている場合、XL.UnlockAfterシステム・プロパティに構成されている時間(分単位)後にアカウントは自動的にロック解除されます。デフォルトでは、このシステム・プロパティの値は0です。これは、ロックされているユーザーが自動的にはロック解除されないことを示します。

ユーザーの自動ロック解除スケジュール・ジョブは、このようなユーザーのロック解除を担当します。このスケジュール・ジョブは、24時間(1日)ごとに実行されるよう構成されています。

したがって、Oracle WebLogicのロックアウトしきい値の最大回数に達したり、XL.UnlockAfterシステム・プロパティに指定されている時間の期限が切れた後でも、ユーザーの自動ロック解除スケジュール・ジョブが実行されていないかぎり、ロックされているユーザーはログインできない可能性があります。

XL.UnlockAfterシステム・プロパティのデフォルト値を変更する場合、ユーザーの自動ロック解除スケジュール・タスクの頻度を変更して両方の値を同期させることをお薦めします。これにより、スケジュール・タスクが適切な間隔でトリガーされ、ユーザーが正常にロック解除されてOracle Identity Managerにログインできるようになります。

6.2.104 アカウント・ロックアウトのパスワードをリセットしてもユーザーがロック解除されない

LDAP同期が有効でOracle Access Manager (OAM)に統合されたOracle Identity Managerデプロイメントでは、最大許容回数を超えて間違ったパスワードを入力すると、ユーザーがロックされます。しかし、ユーザーはリコンシリエーションが実行されるまではパスワードをリセットしてロック解除することが許可されません。

6.2.105 一部の64ビットのMicrosoft WindowsコンピュータでOracle Identity ManagerおよびSOAサーバーを初めて起動したときに時間がかかる

一部の64ビットのMicrosoft Windowsコンピュータで、Oracle Identity ManagerおよびSOAサーバーを初めて起動する際に1時間以上かかります。しかし、このプロセスの実行中は管理対象サーバーを停止しないでください。初回の起動後、これ以降の再起動には時間がかかりません。

6.2.106 増分リコンシリエーション・ジョブおよび全体リコンシリエーション・ジョブを同時に実行できない

増分リコンシリエーション・ジョブと全体リコンシリエーション・ジョブは同時には実行できません。増分リコンシリエーション・ジョブは有効であり、5分ごとに実行されます。全体リコンシリエーション・ジョブが同時に実行されている場合、エラーが発生します。

この問題を回避するには、全体リコンシリエーションを実行する必要がある場合、全体リコンシリエーション・ジョブを実行する前に増分リコンシリエーション・ジョブを無効にします。全体リコンシリエーションが正常に完了した後、増分リコンシリエーション・ジョブを再度有効化します。

6.2.107 MTアップグレード・レポート内の「ロードされたScheduleTaskのJar」表および「サード・パーティのJar」表のコンテンツが正しくない

Oracle Identity Managerリリース9.1.xをOracle Identity Manager 11g リリース1 (11.1.1)にアップグレードすると、MTアップグレードによって生成されたCRBUpgradeReport.htmlページの「ロードされたScheduleTaskのJar」表および「サード・パーティのJar」表のコンテンツが正しくありません。元のスケジュール・タスクJARは、「ロードされたScheduleTaskのJar」表には表示されません。したがって、スケジュール・タスクJARを確認するにはSQL問合せを実行する必要があります。また、サード・パーティのJarが「ロードされたScheduleTaskのJar」表に間違って配置されています。

ただし、この結果として機能が失われることはありません。

6.2.108 「コネクタ管理 - アップグレード」ウィザードの「アップグレード対象のコネクタ・オブジェクトの選択」ページでスクロールバーを使用できない

Microsoft Internet Explorerを使用して「コネクタ管理 - アップグレード」ウィザードが開かれている場合、ステップ13の「アップグレード対象のコネクタ・オブジェクトの選択」ページのすべてのフィールドおよびボタンが表示されない可能性があります。このページには使用可能なスクロールバーがありません。したがって、ウィンドウを最大化してページ内のすべてのコントロールを表示してください。

6.2.109 誤ったデータのためにコンパイルが失敗すると、アダプタ・インポートでアダプタ・ロジックが表示される

Design Consoleを使用してプロセス・タスク・アダプタをインポートし、誤ったデータのためにアダプタのコンパイルが失敗すると、エラーにアダプタのコード全体が表示されます。

これは既知の問題であり、現在のリリースには回避策がありません。

6.2.110 Oracle Identity ManagerでXIMDDテストが失敗する

Oracle Identity Managerで診断ダッシュボードをデプロイした後に、次のテストを実行すると失敗します。

- OWSM設定のテスト(OWSMヘッダー情報を持つリクエストの送信によって実行)

- Oracle Identity Managerに対するSPMLリクエスト呼出しのテスト

失敗の原因は、wss1_saml_or_username_token_policyがSPML XSD Webサービスにアタッチされているときに診断ダッシュボードがテストを実行できないためです。

この問題を回避するには、XIMDDサポート対象のポリシーを使用するようにWebサービスを設定します。SPML XSD Webサービス用のポリシーを構成するには:

1. Fusion Middleware Controlにログインします。

2. 「アプリケーション・デプロイメント」、「spml-xsd」の順にナビゲートします。

3. Oracle Identity Managerのクラスタ化デプロイメントの場合は、ノードを展開して選択します。

4. 「アプリケーションのデプロイ」メニューから、「Webサービス」を選択します。

5. 「Webサービス・エンドポイント」タブをクリックして、「SPMLServiceProviderSOAP」リンクをクリックします。

6. 「ポリシー」タブをクリックして、「アタッチ/デタッチ」をクリックします。

7. デフォルト・ポリシーoracle/wss11_saml_or_username_token_with_message_protection_service_policyをデタッチします。

8. 「使用可能なポリシー」で「oracle/wss_username_token_service_policy」を選択します。あるいは、SSLを使用している場合、同じポリシーのSSLバージョンを選択します。

9. 「アタッチ」をクリックして、「OK」をクリックします。

10. Oracle Identity Managerのクラスタ化デプロイメントの場合は、SPML XSDについてリストされた管理対象ノードごとに手順3から手順9を繰り返します。

11. アプリケーション・サーバーを再起動します。

6.3 構成の問題および回避策

この項では、構成に関する問題およびその回避策について説明します。次の項目が含まれます。

- Microsoft Active DirectoryコネクタでUDFを検索できるように構成する

- LDAP同期が有効なときにロール名を作成または変更する

- ADFの問題によりSun JDK上でOracle Identity Managerを使用できない

- Oracle Identity ManagerとOracle Access Managerの統合環境でNexawebアプレットがロードされない

- managed=falseオプションを使用するドメインの圧縮

- Design ConsoleをSSL対応にするかどうかを指定するためのオプションがない

- JDK 1.6.0_20でNexawebアプレットがロードされない

- Microsoft Windows 2008でSun JDK 160_24 (32ビット)を備えたサーバーを起動するとエラーが発生する

- Oracle Identity ManagerとDesign Consoleは異なるディレクトリ・パスにインストールする必要がある

- Windows Explorer 8で組織をユーザーに追加する際のエラー

6.3.1 Microsoft Active DirectoryコネクタでUDFを検索できるように構成する

Microsoft Active Directoryコネクタのインストールでは、UDF: USR_UDF_OBGUIDが自動的に作成されます。新規ユーザー定義フィールド(UDF)を追加する場合、searchableプロパティは、このプロパティに値を指定しないかぎり、デフォルトではfalseです。Active Directoryコネクタをインストールした後、次の手順を実行してユーザー定義フィールドを検索可能にする必要があります。

1. 拡張管理コンソール(ユーザー・インタフェース)を使用して、次の手順を実行してsearchable UDFプロパティをtrueに変更します。

1. 「詳細設定」をクリックします。

2. 「ユーザー構成」→「ユーザー属性」を選択します。

3. searchableプロパティをtrueに変更し、「カスタム属性」セクションのUSR_UDF_OBGUID属性を変更します。

2. アイデンティティ管理コンソール(ユーザー・インタフェース)を使用して、次の手順を実行し、UDFの検索を可能にするOracle Entitlement Serverの新規ポリシーを作成します。

1. 「管理」タブをクリックし、権限の作成ポリシーを開きます。

2. 「ユーザー管理」として「ポリシー名」、「説明」および「エンティティ名」を入力します。

3. 「権限」→「ユーザーの詳細を表示」→「ユーザーの検索」を選択します。

4. 「ユーザーの詳細を表示」の「属性」を編集し、すべての属性を選択します。

5. SYSTEM ADMINSTRATORロール名を選択します。

6. 「終了」をクリックします。

6.3.2 LDAP同期が有効なときにロール名を作成または変更する

LDAP同期が有効なときにロールを作成または変更しようとし、約1,000文字で構成されたロール名を入力すると、ロールを作成または変更できず、「デコード・エラー」が表示されます。この問題を回避するには、より少ない文字で構成されたロール名を使用します。

6.3.3 ADFの問題によりSun JDK上でOracle Identity Managerを使用できない

ADFの問題により、Sun JDKでOracle Identity Managerを使用するとStringIndexOutOfBoundsExceptionエラーが発生します。この問題を回避するには、DOMAIN_HOME/bin/setSOADomainEnv.shまたはsetSOADomainEnv.cmdファイルに次のオプションを追加します。

1. DOMAIN_HOME/bin/setSOADomainEnv.shまたはsetSOADomainEnv.cmdファイルを開きます。

2. JVMオプションに-XX:-UseSSE42Intrinsics行を追加します。

3. setSOADomainEnv.shまたはsetSOADomainEnv.cmdファイルを保存します。

注意:

JRockitを使用する場合にはこのエラーは発生しません。

6.3.4 Oracle Identity ManagerとOracle Access Managerの統合環境でNexawebアプレットがロードされない

Oracle Identity ManagerとOracle Access Manager (OAM)が統合された環境では、Oracle Identity Manager管理およびユーザー・コンソールにログインしてNexawebアプレットを開くためのリンクをクリックしても、アプレットがロードされません。

この問題を回避するには、Oracle Identity ManagerとOAMの統合環境でNexaWebアプレットのロードを構成します。これを行うには、次の手順を実行します。

1. Oracle Access Managerコンソールにログインします。

2. 新しいWebゲートIDを作成します。これを行うには、次の手順を実行します。

1. 「システム構成」タブをクリックします。

2. 10Webgatesをクリックし、「作成」アイコンをクリックします。

3. 次の属性の値を指定します。
名前: NAME_OF_NEW_WEBGATE_ID

アクセス・クライアント・パスワード: PASSWORD_FOR_ACCESSING_CLIENT

ホスト識別子: IDMDomain

4. 「適用」をクリックします。

5. WebゲートIDを次のように編集します。
set 'Logout URL' = /oamsso/logout.html

6. 「保護されていない場合に拒否」チェック・ボックスを選択解除します。

3. 2つ目のOracle HTTP Server(OHS)およびWebゲートをインストールします。Webゲートの構成中にWebゲートIDおよびパスワードを要求された場合は、手順2cで指定した2つ目のWebゲートのWebゲートID名およびパスワードを使用します。

4. Oracle Access Managerコンソールにログインします。「ポリシー構成」タブで「アプリケーション・ドメイン」を展開し、IdMDomainAgentを開きます。

5. 「認証ポリシー」を展開してパブリック・ポリシーを開きます。「リソース」タブで次のURLを削除します。
/xlWebApp/.../*

/xlWebApp

/Nexaweb/.../*

/Nexaweb

6. 「認可ポリシー」を展開して保護リソース・ポリシーを開きます。「リソース」タブで次のURLを削除します。
/xlWebApp/.../*

/xlWebApp

/Nexaweb/.../*

/Nexaweb

7. すべてのサーバーを再起動します。

8. 2つ目のWebゲートのobAccessClient.xmlファイルを更新します。これを行うには、次の手順を実行します。

1. SECOND_WEBGATE_HOME/access/oblix/lib/ObAccessClient.xmlファイルのバックアップを作成します。

2. DOMAIN_HOME/output/WEBGATE_ID_FOR_SECOND_WEBGATE/ObAccessClient.xmlファイルを開きます。

注意:

DenyOnNotProtectedパラメータが0に設定されていることを確認してください。

3. DOMAIN_HOME/output/WEBGATE_ID_FOR_SECOND_WEBGATE/ObAccessClient.xmlファイルをSECOND_WEBGATE_HOME/access/oblix/lib/ディレクトリにコピーします。

9. FIRST_OHS_INSTANCE_HOME/config/OHS_NAME/ディレクトリからSECOND_OHS_INSTANCE_HOME/config/OHS_NAME/ディレクトリへ、mod_wls_ohs.confをコピーします。さらに、2つ目のOHSのmod_wls_host.confを開いて、WebLogicHostおよびWeblogicPortによってOracle Identity Managerの管理対象サーバーのホストとポートが引き続き指定されていることを確認します。

10. SECOND_OHS_INSTANCE_HOME/config/OHS_NAME/httpd.confファイルの次の行を削除するか、コメント・アウトします。

<LocationMatch "/oamsso/*">
Satisfy any
</LocationMatch>

11. FIRST_WEBGATE_HOME/access/oamsso/ディレクトリからSECOND_WEBGATE_HOME/access/oamsso/ディレクトリへ、logout.htmlファイルをコピーします。さらに、2つ目のWebゲートのlogout.htmlファイルを開いて、SERVER_LOGOUTURL変数のホストとポートの設定がOAMの正しいホストとポートを指定していることを確認します。

12. Oracle Access Managerコンソールにログインします。「ポリシー構成」タブで「ホスト識別子」を展開し、2つ目のWebゲートID名と同じ名前のホスト識別子を開きます。「操作」セクションで、2つ目のOHSのホストとポートがリストされていることを確認します。リストされていない場合は、追加アイコン(+記号)をクリックして追加します。さらに「適用」をクリックします。

13. Oracle Identity ManagerのOAMログイン・ページのURLに、2つ目のOHSのホストとポートを使用します。このURLは次の書式で記述する必要があります。
http://SECOND_OHS_HOST:SECOND_OHS_PORT/admin/faces/pages/Admin.jspx

6.3.5 managed=falseオプションを使用するドメインの圧縮

ドメインがmanaged=falseオプションを使用して圧縮され、別のコンピュータ上で解凍される場合、Oracle Identity Managerの認証プロバイダがWebLogicによって認識されず、Oracle Identity Managerの管理対象サーバーの起動時に、基本の管理者認証が失敗します。

Oracle Identity Managerの認証プロバイダを介して認証を正常に実行させるには、次の回避策を適用できます。

1. 次のURLを使用してOracle WebLogic管理コンソールにログインします。
http://HOST_NAME:ADMIN_PORT/console

2. 「セキュリティ・レルム」→Realm(myrealm)→「プロバイダ」の順にナビゲートします。

3. OIMAuthenticationProviderを削除します。

注意:

プロバイダを削除する前に、プロバイダ固有の詳細(データベースURL、パスワードおよびドライバなど)をメモしておいてください。

4. WebLogic管理サーバーを再起動します。

5. 「セキュリティ・レルム」→Realm(myrealm)→「プロバイダ」の順にナビゲートします。

6. タイプOIMAuthenticationProviderの新規認証プロバイダを作成します。

7. プロバイダ固有の詳細を入力し、制御フラグをSUFFICIENTとマーク付けします。

8. WebLogic管理サーバーを再起動します。

9. Oracle Identity Managerおよび他のサーバー(存在する場合)を再起動します。

6.3.6 Design ConsoleをSSL対応にするかどうかを指定するためのオプションがない

Oracle Identity Manager Design Consoleの構成時に、Design ConsoleをSSL対応にするかどうかを指定できません。

この問題を回避するには、Oracle Identity Manager Design Consoleのインストール後にOIM_HOME/designconsole/config/xlconfig.xmlファイルを編集して、Oracle Identity Manager URLのプロトコルをt3からt3sに変更します。

6.3.7 JDK 1.6.0_20でNexawebアプレットがロードされない

クライアント・ブラウザにJDK/JREバージョン1.6.0_20がインストールされている場合、デプロイメント・マネージャおよびワークフロー・ビジュアライザが機能しない場合があります。この問題を回避するには、クライアント・ブラウザからJDK/JREバージョン1.6.0_20をアンインストールし、JDK/JREバージョン1.6.0_15を再インストールします。

6.3.8 Microsoft Windows 2008でSun JDK 160_24 (32ビット)を備えたサーバーを起動するとエラーが発生する

Oracle WebLogic Server (64ビット)、Oracle Identity ManagerおよびSOAサーバーをインストールし、Microsoft Windows 2008でSun JDK 160_24 (32ビット)を選択すると、Oracle Identity ManagerおよびSOAサーバーの起動時にメモリー不足エラーが発生します。

この問題を回避するには、-XX:-DoEscapeAnalysisを追加します。次に例を示します。

set USER_MEM_ARGS=-Xms512m -Xmx1024m -XX:CompileThreshold=8000 -XX:PermSize=128m -XX:MaxPermSize=512m -XX:-DoEscapeAnalysis

6.3.9 Oracle Identity ManagerとDesign Consoleは異なるディレクトリ・パスにインストールする必要がある

Oracle Identity ManagerとDesign Consoleは異なるディレクトリ・パスにインストールすることをお薦めします。

6.3.10 Windows Explorer 8で組織をユーザーに追加する際のエラー

Microsoft Windows Internet Explorer 8 Webブラウザで、「ユーザーの作成」ページのポップアップ・ウィンドウで組織を検索して選択する場合、「追加」ボタンをクリックすると次のエラーが表示されます。

popup is null or not an object

この問題を回避するには、「インターネット オプション」ダイアログ・ボックスの「詳細設定」タブで「スクリプト エラーごとに通知を表示する」オプションが選択されていないことを確認します。

6.4 多言語サポートの問題および制限

この項では、多言語の問題および制限について説明します。次の項目が含まれます。

- SPMLとOracle Identity Managerの多言語値属性が一致しない

- 一部の特殊文字を含むログイン名は登録に失敗する場合がある

- 「「ロールの作成」、「ロールの変更」および「ロールの削除」リクエスト・テンプレートを「リクエスト・テンプレート」リストで選択できない」

- スケジュール済ジョブのパラメータの名前および値が翻訳されていない

- レガシー・ユーザー・インタフェースでの双方向性の問題

- ロール名、ロール・カテゴリおよびロールの説明のローカライズがサポートされていない

- プロビジョニング・タスク表のタスク名のローカライズがサポートされていない

- スケジュール済タスクの検索結果のローカライズがサポートされていない

- 特定のトルコ文字を含むユーザー・ログイン名を検索するとエラーが発生する

- 使用可能なデータの通知テンプレート・リスト値のローカライズがサポートされていない

- ドイツのß(ベータ)文字を含むエンティティ名の検索が一部の機能で失敗する

- 特殊文字のアスタリスク(*)がサポートされていない

- 翻訳済エラー・メッセージがUIに表示されない

- 「リコンシリエーション・イベント詳細」ページのリコンシリエーション表のデータ文字列がハードコードされている

- 翻訳されたパスワード・ポリシー文字列が背景ペインの範囲からはみ出す場合がある

- 双方向言語で日付書式検証エラーが発生する

- 「「ジョブの作成」ページの誤訳」

- パスワードの有効期限の電子メール通知をアラビア語設定で作成できない

- アクセス・ポリシー・ベースのリソース・プロビジョニング・リクエスト詳細に翻訳された理由が表示されない

- フランス語のUIのGTCリコンシリエーション・マッピング・ページに追加の一重引用符が表示される

- サーバーのロケールが簡体字中国語、繁体字中国語、日本語または韓国語に設定されている場合、Design Consoleのパスワードを入力できない

- Nexawebページで双方向テキストがサポートされない

- 英語以外のロケールでOracle Identity Managerに事前定義されたシステム・プロパティは変更しない

- 翻訳されたシステム・プロパティ名の文字列がPTY_NAME列で許可された最大の長さを超えるとエラーが発生する

- ユーザー・ログインに特殊文字が含まれる場合、パスワード通知が送信されない

- ユーザー・ログインに小文字の特殊文字が含まれる場合、パスワードのリセットが失敗する

- 電子メール通知が優先ロケールに従って送信されない

- 非英語ブラウザでヘルプ・コンテンツが英語で表示される

6.4.1 SPMLとOracle Identity Managerの多言語値属性が一致しない

Oracle Identity Managerでは、多言語値に対して「表示名」属性のみがサポートされます。SPMLでは、commonNameやsurnameなどの追加の属性がPSOスキーマで多言語値として指定されます。SPMLリクエストでこれらの属性のいずれかに対して複数のロケール値が指定されている場合は、単一の値のみが選択され、Oracle Identity Managerに渡されます。リクエストは失敗せず、属性およびOracle Identity Managerに渡された値を識別する警告メッセージがレスポンスに含まれます。

6.4.2 一部の特殊文字を含むログイン名は登録に失敗する場合がある

Oracle Identity Managerでは、ユーザー・ログイン名の大/小文字は区別されません。ユーザーが作成されると、ログイン名は大文字に変換されてデータベースに保存されます。一方、パスワードは常に大/小文字が区別されます。ただし、Oracle Identity Managerへの登録時に、次の一部の特殊文字によってエラーが発生します。

- ギリシャ文字&#963;(シグマ)および&#962;(ファイナル・シグマ)は、いずれも文字&#931;にマップされます。

- 英文字iおよびトルコ文字&#305;は、いずれも文字Iにマップされます。

- ドイツ文字ßおよび英文字列SSは、いずれも文字列SSにマップされます。

そのため、これらの特殊文字を含み、その他の文字が同じである2つのユーザー・ログイン名は作成できません。たとえば、ユーザー・ログイン名のJohnßとJohnSSは、同じユーザー・ログイン名にマップされます。文字ßと文字列SSはいずれも文字列SSにマップされるため、Johnßがすでに存在する場合、JohnSSの作成は許可されません。

6.4.3 「ロールの作成」、「ロールの変更」および「ロールの削除」リクエスト・テンプレートを「リクエスト・テンプレート」リストで選択できない

「ロールの作成」、「ロールの変更」および「ロールの削除」リクエスト・テンプレートは、「リクエストの作成」ウィザードの「リクエスト・テンプレート」リストでは使用できません。これは、「ロールの作成」、「ロールの変更」および「ロールの削除」リクエスト・モデルに基づくリクエスト・テンプレートを使用したリクエストの作成は、UIではなく、APIからサポートされるためです。ただし、「リクエスト・テンプレート」タブではこれらのリクエスト・テンプレートを検索できます。さらに、「ロールの作成」、「ロールの変更」および「ロールの削除」リクエスト・モデルは、承認ポリシーおよび新規リクエスト・テンプレートの作成に使用できます。

6.4.4 スケジュール済ジョブのパラメータの名前および値が翻訳されていない

Oracle Identity Manager拡張管理の「ジョブの作成」ページでは、「パラメータ」セクションのフィールドおよび値が翻訳されていません。パラメータ・フィールドの名前および値は、英語のみで表示されます。

6.4.5 レガシー・ユーザー・インタフェースでの双方向性の問題

xlWebApp warファイルに含まれるレガシー・ユーザー・インタフェース(TransUIとも呼ばれる)の既知の問題を次に示します。

- ヘブライ語の双方向性はサポートされていません。

- アラビア語およびヘブライ語のワークフロー・デザイナの双方向性はサポートされていません。

6.4.6 ロール名、ロール・カテゴリおよびロールの説明のローカライズがサポートされていない

ロール名、カテゴリおよび説明のローカライズは、このリリースではサポートされていません。

6.4.7 プロビジョニング・タスク表のタスク名のローカライズがサポートされていない

プロビジョニング・タスク表リストの「タスク名」のすべての値はハードコードされており、これらの事前定義済プロセス・タスクの名前はローカライズされていません。

6.4.8 スケジュール済タスクの検索結果のローカライズがサポートされていない

単純検索または拡張検索を使用してスケジューラ・タスクを検索した場合の検索結果はローカライズされていません。

6.4.9 特定のトルコ文字を含むユーザー・ログイン名を検索するとエラーが発生する

「タスク承認検索」ページで「割り当てられたタスクの表示」→「自分が管理するユーザー」の順に選択し、ログイン名にトルコ文字の&#305(点なし)または&#304(点あり)が含まれているユーザーを選択すると、ユーザーが見つからないというエラーが発生します。

6.4.10 使用可能なデータの通知テンプレート・リスト値のローカライズがサポートされていない

通知テンプレートの「使用可能なデータ」リスト値のローカライズは、このリリースではサポートされていません。Oracle Identity Managerは、トークンと実際の値のマージをVelocityフレームワークに依存していますが、Velocityフレームワークではトークン名でのスペースの使用が許可されていません。

6.4.11 ドイツのß(ベータ)文字を含むエンティティ名の検索が一部の機能で失敗する

特殊なドイツ文字ß(ベータ)を含むエンティティ名を管理コンソールから検索した場合、次の機能で検索が失敗します。

- システム構成

- リクエスト・テンプレート

- 承認ポリシー

- 通知

これらの機能では、文字ßは、その文字自体ではなくssと一致します。そのため、検索機能ではドイツのベータ文字を含むエンティティ名を検出できません。

6.4.12 特殊文字のアスタリスク(*)がサポートされていない

Oracle Identity Managerでは特殊文字がサポートされていますが、アスタリスク(*)の使用によって問題が発生する場合があります。ユーザー・ロールおよび組織の作成または変更時には、アスタリスクを使用しないことをお薦めします。

6.4.13 翻訳済エラー・メッセージがUIに表示されない

Oracle Identity Managerでは、ユーザー・インタフェースでのエラー・メッセージ表示のカスタム・リソース・バンドルはサポートされていません。現在、この問題を回避する方法はありません。

6.4.14 「リコンシリエーション・イベント詳細」ページのリコンシリエーション表のデータ文字列がハードコードされている

「リコンシリエーション・イベント詳細」ページの一部の表データ文字列は、ハードコードされたカスタマイズ済フィールド名です。これらの文字列はローカライズされていません。

6.4.15 翻訳されたパスワード・ポリシー文字列が背景ペインの範囲からはみ出す場合がある

Oracle Bug#9539501に従って記載されています。

パスワード・ポリシーのヘルプの説明は、文字列が長すぎる場合や一部の言語で、色の付いたボックスの外にはみ出す場合があります。現在、この問題を回避する方法はありません。

6.4.16 双方向言語で日付書式検証エラーが発生する

双方向言語で「ジョブの詳細」ページを開くと、日付書式検証エラーによってこのページから別の場所にナビゲートできなくなります。この問題を回避するには、日時コントロールを使用して「開始日」の値を選択し、別のページに移動します。

6.4.17 「ジョブの作成」ページの誤訳

日本語ロケール(LANG=ja_JP.UTF-8)では、「ジョブの作成」ページのFourth Wednesdayが、誤って「第4金曜日」と翻訳されています。これは、「スケジュール・タイプ」で「cron」を選択し、「定期実行間隔」で「毎月指定曜日」を選択した場合に表示されます。

6.4.18 パスワードの有効期限の電子メール通知をアラビア語設定で作成できない

サーバーのロケールがar_AE.utf8に設定されており、user.languageおよびuser.regionシステム・プロパティの値がそれぞれarおよびAEである場合、Design Consoleでパスワードの有効期限に関する警告の電子メール通知を作成すると、「Region」フィールドで値AEを選択できません。この結果、電子メール通知メッセージを作成できません。

この問題を回避するには:

1. Design Consoleの「Lookup Definition」フォームを開きます。

2. 「Global.Lookup.Region」を検索します。

3. コード・キーおよびデコード値を「AE」としてエントリを追加します。これで、言語arおよびリージョンAEで電子メール通知を作成できるようになります。

6.4.19 アクセス・ポリシー・ベースのリソース・プロビジョニング・リクエスト詳細に翻訳された理由が表示されない

承認とともにアクセス・ポリシーを作成すると、承認の対象となるリソース・プロビジョニング・リクエストが生成されます。セルフ・サービスおよび拡張管理のリクエスト詳細ページには、ユーザーによって設定されたロケールに応じて翻訳されたリクエストの理由は表示されません。この理由は、デフォルトのサーバー・ロケールに表示されます。

6.4.20 フランス語のUIのGTCリコンシリエーション・マッピング・ページに追加の一重引用符が表示される

Oracle Identity Managerの管理およびユーザー・コンソールのロケールをフランス語に設定し、汎用テクノロジ・コネクタ(GTC)の作成時に「プロビジョニング」および「リコンシリエーション」チェック・ボックスを選択し、マッピング・フィールドの変更用のページ内でリコンシリエーション・フィールドをマップすると、2つの一重引用符とともにメッセージが表示されます。これは無害で機能には影響しないため、一重引用符は無視してもかまいません。

6.4.21 サーバーのロケールが簡体字中国語、繁体字中国語、日本語または韓国語に設定されている場合、Design Consoleのパスワードを入力できない

サーバーのロケールを簡体字中国語、繁体字中国語、日本語または韓国語に設定し、Design Consoleを起動すると、パスワードを入力してDesign Consoleにログインできません。

この問題を回避するには:

1. すべてのscimプロセスを強制終了します。これを行うには、次のコマンドを実行します。

kill `pgrep scim`

2. scimの構成ファイルを編集します。これを行うには、次の手順を実行します。

1. 次の行を検索します。
/FrontEnd/X11/Dynamic = ......

2. 次のように、値としてtrueを入力します。
/FrontEnd/X11/Dynamic = true

注意:

この行が存在しない場合は、次を入力します。

/Frontend/X11/Dynamic = true

3. ファイルを保存します。

3. VNCビューアからログアウトします。

4. VNCサーバーを再起動して再度ログインします。これで、Design Consoleのパスワードを入力できるようになります。

6.4.22 Nexawebページで双方向テキストがサポートされない

Oracle Identity Manager管理およびユーザー・コンソールから開くNexawebページで、双方向テキストがサポートされません。たとえば、アラビア語やヘブライ語のように右から左に書かれる言語を選択し、「ようこそ」ページで「コネクタのインストール」をクリックし、コネクタを検索し、「アップグレード」をクリックし、コネクタ・アップグレード・ウィザードのステップ13に進むと、ページ内のテキストが右から左に表示されません。

6.4.23 英語以外のロケールでOracle Identity Managerに事前定義されたシステム・プロパティは変更しない

管理およびユーザー・コンソールのユーザー・プリファレンス言語が英語ではない場合、Oracle Identity Managerに事前定義されたシステム・プロパティの値を更新すると、翻訳されたプロパティ名およびキーワードがPTY表に書き込まれます。したがって、管理およびユーザー・コンソール内でシステム・プロパティを検索しても、このシステム・プロパティが見つかりません。

6.4.24 翻訳されたシステム・プロパティ名の文字列がPTY_NAME列で許可された最大の長さを超えるとエラーが発生する

フランス語などの西洋の言語UIのシステム・プロパティの値を設定しようとした場合、翻訳文字列の長さがPTY表のPTY_NAME列で許可された最大の長さ(80文字)を超えると、エラーが発生します。

6.4.25 ユーザー・ログインに特殊文字が含まれる場合、パスワード通知が送信されない

LDAPで有効な電子メール・アドレスを使用して作成されたユーザー・エンティティで、ユーザー・ログインにドイツ語のベータ文字が含まれる場合、LDAPユーザーの作成/更新の全体リコンシリエーションの実行時に通知メッセージが送信されません。

6.4.26 ユーザー・ログインに小文字の特殊文字が含まれる場合、パスワードのリセットが失敗する

LDAP同期が有効なOracle Identity Managerデプロイメントで、ユーザー・ログインに特殊文字(トルコ語のドット付きのI、ドットなしのi、ドイツ語のベータ、ギリシャ語の小文字のシグマなど)が含まれる場合、パスワードのリセットが機能しません。

この問題を回避するには、Oracle Identity Managerではユーザー・ログインの大文字と小文字が区別されないため、大文字のユーザー・ログインを使用してパスワードをリセットします。

6.4.27 電子メール通知が優先ロケールに従って送信されない

リソースをユーザーにプロビジョニングする場合、プロビジョニングされたユーザーおよびユーザーのマネージャは、優先ロケールでなく、user.languageおよびuser.countryで指定されたロケールで電子メール通知を受信します。

6.4.28 非英語ブラウザでヘルプ・コンテンツが英語で表示される

非英語Webブラウザで、Oracle Identity Manager Self Service、アイデンティティ管理または拡張管理の右上隅にある「ヘルプ」リンクをクリックすると、ヘルプ・ウィンドウが開きますが、常に英語のオンライン・ヘルプ・コンテンツが表示されます。

6.5 ドキュメントの訂正箇所

ドキュメントの訂正箇所: 現時点ではドキュメントの問題はありません。

7 Oracle Internet Directory

この章では、Oracle Internet Directoryに関連する次の問題について説明します。

- 7.1項「一般的な問題と回避策」

- 7.2項「構成に関する問題と回避策」

- 7.3項「ドキュメントの訂正箇所」

7.1 一般的な問題と回避策

この項では、Oracle Internet Directoryに関連する次の一般的な問題と回避策について説明します。

- 7.1.1項「クローニングしたOracle Internet Directoryインスタンスの失敗または低速実行」

- 7.1.2項「Oracle Internet DirectoryがISMを使用するSolaris SPARCシステム上で起動できない」

- 7.1.3項「Enterprise Managerを使用するとカスタム監査ポリシー設定が失敗する」

- 7.1.4項「objectClassが参照する必須のattributeTypesの削除が成功する」

- 7.1.5項「Oracle Unified Directory 11.1.2.0 orclguid属性がサーバー・チェーンにマップされない」

- 7.1.6項「Internet Explorer 11ではODSMのオンライン・ヘルプが正しく表示されない」

- 7.1.7項「ODSMブラウザ・ウィンドウが使用できなくなる」

- 7.1.8項「Bulkmodifyでエラーが生成される」

- 7.1.9項「トルコ文字の点付きのIが正しく処理されない」

- 7.1.10項「OIDCMPRECによって操作属性が変更される可能性がある」

- 7.1.11項「OIDREALMではレルムの削除がサポートされていない」

- 7.1.12項「Oracle Database 11.2.0.1.0にパッチを適用してパージ・ジョブの問題を修正する」

- 7.1.13項「OPSS ldapsearchのSQLで%CPUが高くなる可能性がある」

- 7.1.14項「コマンドラインを使用してレプリケーション・サーバーを起動する場合はコマンドラインを使用して停止する」

- 7.1.15項「Internet Explorer 7でのODSMの問題」

7.1.1 クローニングしたOracle Internet Directoryインスタンスの失敗または低速実行

クローニングしたOracle Internet Directory環境では、好ましくないホスト名はエラー、失敗またはパフォーマンスの低下を引き起こす可能性があります。

Oracle Internet Directoryインスタンスをクローニングして、クローニングされたターゲット・インスタンスがソース・インスタンスから好ましくないホスト名を取得した場合に、この問題が発生する可能性があります。このようなホストには、ファイアウォールの外にあるものや、そうでない場合はターゲット・インスタンスにアクセスできないものがあります。

クローニングされたOracle Internet Directoryインスタンスではクラスタ環境内にあることが前提となっており、通知および他の変更のために好ましくないホストにアクセスしようとします。しかし、クローニングされたインスタンスはいくつかのホストにはアクセスできず、その後失敗してエラーを返すか低速で実行されます。

たとえば、クローニングされたOracle Internet Directoryターゲット・インスタンスに対する次の操作の実行中に、この問題が発生する可能性があります。

- Oracle Virtual Machine (VM)を作成するためにfaovmdeploy.sh createTopologyコマンドを実行

- 異なるOracle Virtual Machine内でEnterprise Managerエージェントをデプロイ

この問題を修正するには、クローニングされたOracle Internet Directoryインスタンスから、好ましくないホスト名を次のように削除します。

1. 必要な環境変数を設定します。次に例を示します。

export ORACLE_INSTANCE=/u01/oid/oid_inst
export ORACLE_HOME=/u01/oid/oid_home
export PATH=$ORACLE_HOME/bin:$ORACLE_INSTANCE/bin:$PATH
export TNS_ADMIN=$ORACLE_INSTANCE/config

2. Oracle Databaseに接続し、好ましくないOracle Internet Directoryホスト名を持つエントリを削除します。たとえば、次の問合せで、sourceHostnameの好ましくないホスト名を置き換えます。

sqlplus ods@oiddb
delete from ods_shm where nodename like '%sourceHostname%';
delete from ods_shm_key where nodename like '%sourceHostname%';
delete from ods_guardian where nodename like '%sourceHostname%';
delete from ods_process_status where hostname like '%sourceHostname%';
commit;

3. クローニングされたOracle Internet Directoryコンポーネントを停止してから再起動します。次に例を示します。

opmnctl stopproc ias-component=oid1
opmnctl startproc ias-component=oid1

4. 好ましくないOracle Internet Directoryホスト名を持つcnエントリを検索します。次に例を示します。

ldapsearch -h oid_host -p oid_port -D cn=orcladmin -w admin_password -b
"cn=subregistrysubentry" -s sub "objectclass=*" dn
cn=oid1_1_hostName1,cn=osdldapd,cn=subregistrysubentry
cn=oid1_1_hostName2,cn=osdldapd,cn=subregistrysubentry
cn=oid1_1_myhost.example.com,cn=osdldapd,cn=subregistrysubentry

5. 前の手順の結果から、好ましくないホスト名を持つエントリを削除します。次に例を示します。

ldapdelete h oid_host -p oid_port -D cn=orcladmin -w admin_password
"cn=oid1_1_hostName1,cn=osdldapd,cn=subregistrysubentry"
ldapdelete h oid_host -p oid_port -D cn=orcladmin -w admin_password
"cn=oid1_1_hostName2,cn=osdldapd,cn=subregistrysubentry"

6. 好ましくないホスト名が削除されたことを確認します。次に例を示します。

ldapsearch h oid_host -p oid_port -D cn=orcladmin -w admin_password -b
"cn=subregistrysubentry" -s sub "objectclass=*" dn
cn=oid1_1_myhost.example.com,cn=osdldapd,cn=subregistrysubentry

関連項目:

『Oracle Fusion Middleware管理者ガイド』のOracle Fusion Middlewareのクローニングに関する説明。

7.1.2 Oracle Internet DirectoryがISMを使用するSolaris SPARCシステム上で起動できない

Oracle Internet Directoryは、Intimate Shared Memory (ISM)を使用する次のOracle Solaris SPARCシステム上で起動できません: 5.11 11.1 sun4v sparc sun4v

この問題の回避策として、次の手順に示されるように値を設定します。

- Oracle Internet Directoryについて、オペレーティング・システムの許容される物理ロック・メモリーの合計(project.max-locked-memory)を2GB以上に設定して、値がサポートされるページ・サイズと合うようにします。pagesize -aコマンドは、Solarisシステムのサポートされるすべてのページ・サイズをリストします。

- orclecachemaxsize属性をproject.max-locked-memoryよりも小さくなるように設定し、その値がOSによってサポートされるページ・サイズと合うことを確認します。たとえば、値を256MBに設定します。

次の手順では、Oracle Internet Directoryサービスは"oracle"という名前のオペレーティング・システム・ユーザーによって管理されていると仮定されています。

1. Solaris SPARCシステムにルート・ユーザーとしてログインします。

2. OIDユーザーのプロジェクト・メンバーシップを確認します。
OIDユーザーがデフォルト・プロジェクトに属する場合、次のようになります。

1. 2GB以上に設定された最大ロック・メモリーの値で新しいプロジェクトを作成し、OIDユーザーを新しく作成したプロジェクトと関連付けます。Solaris 10および11でプロジェクトID 3はデフォルト・プロジェクトを表します。次に例を示します。

# id -p oracle
uid=2345(oracle) gid=529(dba) projid=3(default)
# projadd -p 150 -K "project.max-locked-memory=(priv,2G,deny)" oidmaxlkmem
# usermod -K project=oidmaxlkmem oracle

2. リソース・コントロールの値project.max-locked-memoryが、予期したとおり2GBに設定されたことを確認します。次に例を示します。

# su - oracle

$ id -p oracle
uid=2345(oracle) gid=529(dba) projid=150(oidmaxlkmem)

$ prctl -n project.max-locked-memory -i project 150
project: 150: oidmaxlkmem
NAME    PRIVILEGE       VALUE    FLAG   ACTION                   RECIPIENT
project.max-locked-memory
privileged      2.00GB      -   deny                             -
system          16.0EB    max   deny                             -

OIDユーザーが非デフォルト・プロジェクトに属する場合、次のようになります。

1. 対応するプロジェクトを変更してproject.max-locked-memoryリソース・コントロールを含め、値を2GB以上に設定します。次に例を示します。

# id -p oracle
uid=2345(oracle) gid=529(dba) projid=125(oraproj)

# projmod -a -K "project.max-locked-memory=(priv,2G,deny)" oraproj

2. リソース・コントロールの値project.max-locked-memoryが、予期したとおり2GBに設定されたことを確認します。次に例を示します。

# projects -l oraproj
oraproj
projid : 125
comment: ""
users  : (none)
groups : (none)
attribs: project.max-locked-memory=(priv,2147483648,deny)
project.max-shm-memory=(priv,34359738368,deny)

# su - oracle
$ id -p
uid=2345(oracle) gid=529(dba) projid=125(oraproj)

$ prctl -n project.max-locked-memory -i project 125
project: 125: oraproj
NAME    PRIVILEGE       VALUE    FLAG   ACTION                   RECIPIENT
project.max-locked-memory
privileged      2.00GB      -   deny                             -
system          16.0EB    max   deny                             -

3. エントリ・キャッシュ最大サイズ(orclecachemaxsize属性)を、OSによって許可される最大ロック・メモリー・サイズよりも小さい値でOSがサポートするページ・サイズに合う値に設定します。
たとえば、SQL*Plusを使用して値を256MBに設定します。

sqlplus ods@oiddb
update ds_attrstore set attrval='256m'
where entryid=940 and attrname='orclecachemaxsize';
commit;

4. config.shスクリプトを実行してOracle Internet Directoryを構成します。

7.1.3 Enterprise Managerを使用するとカスタム監査ポリシー設定が失敗する

11g Oracle Enterprise Manager Fusion Middleware Controlを使用してOracle Internet Directoryのカスタム監査ポリシー設定を行い、監査カスタム・イベントを「失敗のみ」に選択すると、監査ログは生成されず、失敗イベントの監査プロセスは失敗します。その後、「監査ポリシー設定」が「低」、「中」、「高」など、別の値に変更されても、その他の監査イベントはログに記録されません。

Enterprise Managerを介して再度監査機能を使用するには、デフォルト・ポリシーを選択するか、すべて失敗以外のカスタム・イベントを含むポリシーを選択してから、Oracle Internet Directoryサーバー・プロセスを再利用します。

また、ldapmodifyなどのLDAPコマンドライン・ツールを使用して、カスタム監査ポリシーを設定することもできます。詳細は、『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』のコマンドラインからの監査の管理に関する項を参照してください。

7.1.4 objectClassが参照する必須のattributeTypesの削除が成功する

Oracle Internet Directoryスキーマにある、このスキーマのobjectClassが参照している必須のattributeTypesを削除すると、エラーが返されず、attributeTypesが正常に削除されます。この問題は、必須のattributeTypesを使用しているobjectClassを使用して作成したDNエントリでも発生します。必須属性がスキーマから削除されると、何の通知もなくその属性はDNエントリからなくなります。

7.1.5 Oracle Unified Directory 11.1.2.0 orclguid属性がサーバー・チェーンにマップされない

Oracle Unified Directory 11.1.2.0でOracle Internet Directoryサーバー・チェーンを構成してから、ユーザーを検索する場合、検索結果からorclguid属性が欠落します。

orclguid属性が欠落するのは、Oracle Unified Directoryでiplanetのデフォルト設定(cn=oidsciplanet,cn=oid server chaining,cn=subconfigsubentry)を使用し、デフォルトのiplanetマッピングではorclguidがマップされないためです。

7.1.6 Internet Explorer 11ではODSMのオンライン・ヘルプが正しく表示されない

Internet Explorer 11では、Oracle Directory Services Manager (ODSM)のオンライン・ヘルプが正しく表示されません。左側のペインにナビゲーション・ツリー、右側のペインにヘルプのコンテンツが表示されるのではなく、ODSMでリンクのみが表示されます。

7.1.7 ODSMブラウザ・ウィンドウが使用できなくなる

Fusion Middleware ControlからODSMを起動し、新規ODSMを選択すると、ブラウザ・ウィンドウが使用できなくなることがあります。たとえば、ウィンドウが繰り返しリフレッシュしたり、空白ページとして表示されたり、ユーザー入力を受け付けなかったり、nullポインタ・エラーを表示します。

回避策として、URL: http://host:port/odsmに移動して、hostおよびportでODSMが実行されている場所を指定します(例: http://myserver.example.com:7005/odsm)。これにより、ODSMウィンドウを使用してサーバーにログインできるようになります。

7.1.8 Bulkmodifyでエラーが生成される

Oracle Internet DirectoryでOracle Database 11g リリース1 (11.1.0.7.0)を使用している場合、bulkmodify操作の実行中にORA-600エラーが表示される場合があります。この問題を修正するには、Oracle Bug#7019313およびOracle Bug#7614692用の修正をOracle Databaseに適用します。

7.1.9 トルコ文字の点付きのIが正しく処理されない

不具合により、Oracle Internet Directoryでは、トルコ語文字セットに含まれる点付きの大文字のIを正しく処理できません。そのため、Oracle Directory Services Managerまたはコマンドライン・ユーティリティで問題が発生する可能性があります。

7.1.10 OIDCMPRECによって操作属性が変更される可能性がある

デフォルトでは、oidcmprecツールによって比較時に操作属性が除外されます。つまり、oidcmprecによって、ソースと宛先のディレクトリ・エントリの操作属性は比較されません。ただし、ユーザー定義属性のリコンシリエーション時に、操作属性が変更される可能性があります。

7.1.11 OIDREALMではレルムの削除がサポートされていない

oidrealmツールでは、レルムの作成はサポートされますが削除はサポートされていません。レルムの削除手順は、https://support.oracle.com/のMy Oracle Supportから取得できるノート604884.1に記述されています。

7.1.12 Oracle Database 11.2.0.1.0にパッチを適用してパージ・ジョブの問題を修正する

Oracle Internet DirectoryでOracle Database 11.2.0.1.0を使用している場合は、Oracle Internet Directoryのインストール後、Oracle Databaseにパッチ9952216 (11.2.0.1.3 PSU)を適用してください。

このパッチを適用していない場合、パージ・ジョブが正しく機能しません。また、次の現象が発生する可能性があります。

- Oracle Internet Directoryの変更ログがパージされず、パージ・ログにORA-23421エラーが表示されます。

- 変更ログのパージ・ジョブを実行する際にorclpurgenowを1に設定するとハングします。

7.1.13 OPSS ldapsearchのSQLで%CPUが高くなる可能性がある

OPSSの1レベルldapsearch操作のSQLでフィルタorcljaznprincipal=valueおよび必須属性を使用すると、%DB CPUが過度に高くなる可能性があります。この検索パフォーマンスがマシンおよび他のプロセスのパフォーマンス全体に影響する場合、Oracle Databaseで次の手順を実行することにより、問題を軽減できます。

1. Oracle DatabaseにユーザーODSとしてログインし、次のSQLを実行します。

BEGIN
DBMS_STATS.GATHER_TABLE_STATS(OWNNAME=>'ODS',
TABNAME=>'CT_ORCLJAZNPRINCIPAL',
ESTIMATE_PERCENT=>DBMS_STATS.AUTO_SAMPLE_SIZE,
CASCADE=>TRUE);
END;
/

2. ALTER SYSTEM文を使用して共有プールをフラッシュします。詳細は、『Oracle Database SQL言語リファレンス』を参照してください。

7.1.14 コマンドラインを使用してレプリケーション・サーバーを起動する場合はコマンドラインを使用して停止する

コマンドラインを使用してレプリケーション・サーバーを起動する場合、停止にもコマンドラインを使用します。Oracle Enterprise Manager Fusion Middleware Controlを使用してこれを停止しようとすると、失敗します。

関連項目:

https://support.oracle.comにあるMy Oracle Support(以前のMetaLink)のNote 1313395.1を参照してください。

7.1.15 Internet Explorer 7でのODSMの問題

ODSMインタフェースは、Internet Explorer 7で説明されているように表示されないことがあります。

たとえば、「ログアウト」リンクが表示されないことがあります。

これが問題の原因となる場合は、Internet Explorer 8または9にアップグレードするか、別のブラウザを使用してください。

7.2 構成に関する問題と回避策

この項では、Oracle Internet Directoryに関連する次の構成の問題とその回避策について説明します。

- 7.2.1項「Oracle Internet Directoryをテストから本番へ移動した後でウォレットを再作成する」

7.2.1 Oracle Internet Directoryをテストから本番へ移動した後でウォレットを再作成する

テスト・マシン上でサーバー認証モードまたは相互認証モードでSSLを使用するためにOracle Internet Directoryを構成し、Oracle Internet Directoryを本番マシンに移動する場合は、本番マシン上でOracle Internet Directoryウォレットを再作成してください。

古いウォレットには、証明書のDNとして元のマシンのホスト名が含まれます。このDNのホスト名は、テストから本番への移動時に変更されません。本番マシン上でウォレットを再作成することで、SSL通信の問題を回避してください。

7.3 ドキュメントの訂正箇所

この項では、次のドキュメントの訂正箇所の内容について説明します。

- 7.3.1項「Oracle Internet Directory VMテンプレートを使用できない」

- 7.3.2項「orclrevpwd属性の記述に説明が必要」

- 7.3.3項「LDAPコマンドでは-k|-Kオプションはサポートされていない」

- 7.3.4項「orclOIDSCExtGroupContainer属性の記述に説明が必要」

- 7.3.5項「LDAPレプリケーションの設定に説明が必要」

- 7.3.6項「パスワード有効期限切れのレスポンス制御の説明がない」

- 7.3.7項「ODSM統合用SSOサーバーの構成に説明が必要」

- 7.3.8項「Oracle Internet Directoryの期限切れユーザーの判別」

- 7.3.9項「新しいスーパーユーザー・アカウントはDirectoryAdminGroupグループのダイレクト・メンバーである必要がある」

- 7.3.10項「SSL認証モード1および匿名SSL暗号に説明が必要」

- 7.3.11項「レプリケーション・サーバー制御およびフェイルオーバーのドキュメントが不完全」

- 7.3.12項「暗号化属性の追加後のサーバー再起動の説明がない」

- 7.3.13項「RCUとともに使用する場合はPASSWORD_VERIFY_FUNCTIONをNULLに設定する必要があることが説明されていない」

- 7.3.14項「Oracle Internet Directory SSL相互認証の設定」

- 7.3.15項「アイデンティティ管理のチュートリアルのレプリケーションの指示が不完全」

7.3.1 Oracle Internet Directory VMテンプレートを使用できない

『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』の付録Rには、Oracle Internet Directory VMテンプレートの使用方法が記載されています。ただし、このテンプレートはOracle Internet Directory 11gリリース1 (11.1.1.7.0)では使用できません。

回避策として、Oracle Fusion Middleware Oracle Identity Managementインストレーション・ガイドの説明に従って、Oracle Internet Directoryをインストールします。

7.3.2 orclrevpwd属性の記述に説明が必要

『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』で、「パスワード・ベリファイアの管理」のorclrevpwd属性の説明に、さらに説明が必要です。Directoryに対する認証用パスワード・ベリファイアの概要に関する項に、次の情報を含める必要があります。

Oracle Internet Directoryでは、ユーザー・パスワードをorclrevpwd構成属性に可逆暗号化形式で格納します。このorclrevpwd属性は、パスワード・ポリシー・エントリの属性orclpwdencryptionenableが1に設定されている場合にのみ生成されます。

属性のアクセス制御ポリシー(ACI)を変更しても、orclrevpwd属性はOracle Internet Directoryサーバーで安全に保持されており、問合せは不可能です。ただし、Oracle Directory Integration Platformではorclrevpwd属性の問合せが可能で、パスワードの同期も機能します。

7.3.3 LDAPコマンドでは-k|-Kオプションはサポートされていない

Oracle Fusion Middleware Oracle Identity Managementリファレンスの第3章「Oracle Internet Directoryデータ管理ツール」のLDAPコマンドには-k|-Kオプションが記載されています。しかし、これはLDAPコマンドの有効なオプションではないため、使用しないでください。

7.3.4 orclOIDSCExtGroupContainer属性の記述に説明が必要

『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』の「サーバー・チェーンの構成」の章に記載されているorclOIDSCExtGroupContainer属性の記述には説明が必要です。

現状では、「外部ユーザー・コンテナと外部グループ・コンテナが同じ場合、この属性はオプションです」と記述されています。しかし、この属性は必須です。また、説明に次の情報を追加する必要があります。

外部ユーザー・コンテナと外部グループ・コンテナが同じである(つまり、外部ディレクトリ・サーバーのグループがユーザーと同じコンテナに格納されている)場合、orclOIDSCExtGroupContainer属性の値は、ユーザー・コンテナ(orclOIDSCExtUserContainer属性)に使用されている値と同じである必要があります。

7.3.5 LDAPレプリケーションの設定に説明が必要

『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』の第40章「レプリケーションの設定」には次の要件が記載されていません。

エントリ数が100,000を超えるディレクトリにレプリケーションを設定するには、コマンドライン・ツール(ldifwriteおよびbulkload)を使用する必要があります。Oracle Enterprise Manager Fusion Middleware Controlのレプリケーション・ウィザード(自動ブートストラップ方式)は、エントリ数が100,000未満のディレクトリにのみ使用してください。

Oracle Internet Directory 10gのノードと11gR1のノードを組み合せてデプロイしている場合、11gR1のノード間でレプリケーションを設定する前に、10gのノードから11gR1のノードへのレプリケーションを設定する必要があります。たとえば、次のようなデプロイメントがあるとします。

- それぞれサプライヤ・ノードとコンシューマ・ノードとして使用される2つのOracle Internet Directory 10gノード

- LDAPマルチマスター・レプリケーションが設定されている2つの新しいOracle Internet Directory 11gR1ノード(ノード1およびノード2)

このデプロイメントでレプリケーションを設定する手順は次のとおりです。

1. いずれかの10gノードから11gR1のノード1に一方向のLDAPレプリケーションを設定します。

2. 11gR1のノード1でレプリケーション・ブートストラップを設定し(エントリ数が100,000未満の場合)、レプリケーション・サーバーを起動します。(ディレクトリのエントリ数が100,000を超える場合は、コマンドライン・ツールを使用します。)

3. レプリケーションが完了したら、11gR1のノード1とノード2でLDAPマルチマスター・レプリケーションを設定します。

4. 11gR1のノード2でレプリケーション・ブートストラップを設定し(エントリ数が100,000未満の場合)、レプリケーション・サーバーを起動します。

7.3.6 パスワードの有効期限切れレスポンス制御の説明がない

Oracle Fusion Middleware Oracle Identity Managementリファレンスと『Oracle Fusion Middleware Oracle Identity Managementアプリケーション開発者ガイド』の両方で、Oracle Internet Directoryのパスワードの期限切れのレスポンス・コントロールについて説明されていません。

- オブジェクト識別子: 2.16.840.1.113894.1.8.20

- 名前: OID_PWDEXPIRED_CONTROL

- 説明: パスワード・ポリシー制御。パスワードが期限切れになり、猶予期間ログインの残数がなく、クライアントからリクエスト・コントロールが送信された場合に、サーバーが送信するレスポンス・コントロール。

7.3.7 ODSM統合用SSOサーバーの構成に説明が必要

『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』の7.4.3項ODSM統合用SSOサーバーの構成に関する説明に、SSO-ODSM統合のパフォーマンスを改善するにはODSM URLを次のように構成する必要があることが記載されていません。

- 保護: /odsm/odsm-sso.jsp

- 非保護: /odsm/faces/odsm.jspx

- 除外: /odsm/.../

CSS、JavaScriptおよびグラフィック(/odsm/.../)ファイルを除外に設定すると、これらのファイルがOracle Access Managerによって検証されなくなり、デプロイメントのパフォーマンスを改善できます。

7.3.8 Oracle Internet Directoryの期限切れユーザーの判別

『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』では、期限切れユーザーの概念およびユーザーが期限切れ状態であるかどうか判別する方法について十分に説明されていません。

期限切れユーザーを判別し、そのユーザーをディレクトリから削除するなど特定のアクションを実行したい状況があります。

注意:

Oracle Internet Directoryの期限切れユーザーは、特定の属性で示されることはありません。期限切れユーザーは、システム時間、許可される最大非アクティブ時間、およびユーザーの最後の正常なログイン時間に応じて一時的な状態に置かれます。期限切れ状態は、ユーザーのバインドまたはパスワード比較操作中に判別されます。

期限切れユーザーを判別するには、Oracle Internet Directoryデプロイメントが次のように構成されている必要があります。

- 各ユーザーの最後の正常なログイン時間のトラッキングは、orclPwdTrackLogin属性を1に設定することによって有効にする必要があります。

- orclpwdmaxinactivitytime属性は0 (デフォルト)以外の値に設定する必要があります。この属性によって、ユーザーのアカウントが自動的に期限切れになるとみなされる非アクティブ時間が秒数で指定されます。

ユーザーのアカウントが期限切れであるとみなされるかどうかを判別するには、次の手順を実行します。

1. ユーザーの最後の正常なログインのタイムスタンプをorcllastlogintime属性から判別します。

2. ユーザーのorcllastlogintime値を現在のシステム時間から減算します。結果がorclpwdmaxinactivitytime値よりも大きい場合、ユーザーは期限切れ状態であるとみなされます。

3. 必要な場合は、期限切れユーザーをディレクトリから削除します。

詳細は、『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』の「パスワード・ポリシーの管理」の章を参照してください。

7.3.9 新しいスーパーユーザー・アカウントはDirectoryAdminGroupグループのダイレクト・メンバーである必要がある

『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』の12.6項のスーパーユーザー権限を持つ別のアカウントの作成に関する説明に、すべてのOracle Directory Services Manager (ODSM)機能を使用するには新しいスーパーユーザー・アカウントはDirectoryAdminGroupグループのダイレクト・メンバーである必要があることが記載されていません。

「セキュリティ」および「拡張」タブを含むすべてのODSM機能を使用するには、新しいスーパーユーザー・アカウントはDirectoryAdminGroupグループのダイレクト・メンバーである必要があります。新しいスーパーユーザー・アカウントは、DirectoryAdminGroupグループのメンバーとなるグループのメンバーであることはできません。この構成では、スーパーユーザーはODSMの「ホーム」、「スキーマ」および「データ・ブラウザ」タブにのみアクセスできます。

7.3.10 SSL認証モード1および匿名SSL暗号に説明が必要

『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』の27.1.3項のSSL認証モードに関する注意の最初の箇条書きで、デフォルト認証モードおよび匿名SSL暗号に対して少なくとも1つのOracle Internet Directoryサーバー・インスタンスを構成する必要があることが記載されています。この記述は特定のデプロイメントでのみ当てはまります。

注意の最初の箇条書きは次のように修正する必要があります。

- デフォルトでは、SSL認証モードは1 (暗号化のみ、認証なし)に設定されます。
Oracle Delegated Administration Services 10g、または匿名SSL暗号用に構成された暗号化SSLポート上でOracle Internet Directoryと通信するOracle FormsおよびOracle Reportsのレガシー・バージョンなどその他のクライアント・アプリケーションを使用している場合、少なくとも1つのOracle Internet Directoryサーバー・インスタンスをこのデフォルト認証モード用に構成する必要があります。

そうしない場合は、認証モード1および匿名SSL暗号が要求されず、Oracle Internet Directoryが機能しません。使用可能にするSSLポートのタイプおよびSSLポートが受け入れる暗号は、固有のデプロイメント要件に依存します。

7.3.11 レプリケーション・サーバー制御およびフェイルオーバーのドキュメントが不完全

『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』には、orclfailoverenabled属性を設定してフェイルオーバーを有効にする方法を含め、Oracle Maximum Availability Architecture (MAA)でのレプリケーション・サーバー(oidrepld)プロセス制御およびフェイルオーバーについて十分な説明がありません。

orclfailoverenabled属性は、フェイルオーバーを構成するOIDモニター構成エントリ("cn=configset,cn=oidmon,cn=subconfigsubentry")です。

この属性は、OIDモニターが存続ノードで失敗したプロセスを開始するまでのフェイルオーバー時間を分数で指定します。デフォルトのフェイルオーバー時間は5分です。値ゼロ(0)の場合、Oracle Internet Directoryプロセスのフェイルオーバーが無効になります。

追加情報は、次の場所のMy Oracle Supportから入手できるノート1538250.1にあります。

https://support.oracle.com/

関連項目:

『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』の「Oracle Internet Directoryコンポーネントのプロセス制御の理解」の章。

7.3.12 暗号化属性の追加後のサーバー再起動の説明がない

『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』には、センシティブ属性のリストに暗号化属性を追加する場合、Oracle Internet Directoryサーバー・インスタンスを再起動し、新しい属性がセンシティブ属性の新しいリストに追加されてサーバーによって認識されるようにする必要があることが記載されていません。

注意:

『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』の表28-1のorclencryptedattributesに格納されるセンシティブ属性に記載されている属性は、Oracleによる使用のみが意図されています。Oracleサポートによって要求されないかぎり、この表に示される属性の追加または変更は行わないでください。

詳細は、『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』の「データ・プライバシの構成」の章を参照してください。

7.3.13 RCUとともに使用する場合はPASSWORD_VERIFY_FUNCTIONをNULLに設定する必要があることが説明されていない

『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』では、Oracle Internet DirectoryがOracle Databaseバージョン11.2.xのリポジトリ作成ユーティリティ(RCU)で機能するには、データベースのデフォルトのPASSWORD_VERIFY_FUNCTION句をNULL (デフォルト値)に設定する必要があることが記載されていません。

7.3.14 Oracle Internet Directory SSL相互認証の設定

『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』にも『Oracle Fusion Middleware管理者ガイド』にも、Oracle Internet Directory SSLクライアントおよびサーバー認証の設定方法が記載されていません。この情報は、次の場所にあるMy Oracle Supportのノート1311791.1に記載されています。

https://support.oracle.com/

7.3.15 アイデンティティ管理のチュートリアルのレプリケーションの指示が不完全

『Oracle Identity Managementスタート・ガイド』からリンクされているアイデンティティ管理のチュートリアルの第3章「Oracle Internet Directoryレプリケーション」から重要な情報が欠落しています。

特に、新しいコンシューマ・ノードが空でない限り、この指示は実行されません。

詳細は、『Oracle Fusion Middleware Oracle Internet Directory管理者ガイド』のLDAPベースのレプリケーションの構成ルールに関する項を参照してください。

8 Oracle Platform Security Services

この章では、次の項でOracle Platform Security Services (OPSS)に関連するトピックについて説明します。

- 8.1項「構成に関する問題と回避策」

- 8.2項「ドキュメントの訂正箇所」

この章に含まれるトピックには次のドキュメントが関連します。

- Oracle Fusion Middlewareセキュリティ・ガイド

- Oracle Fusion Middlewareの管理者ガイド

- Oracle Fusion Middleware Authorization Policy Manager管理者ガイド

8.1 構成の問題および回避策

この項では、構成に関する問題およびその回避策について説明します。次の項目が含まれます。

- 8.1.1項「Oracle Fusion Middleware Audit Framework」

- 8.1.2項「ブートストラップ・キーの末尾の\n文字」

- 8.1.3項「複数のアイデンティティ・ストアでユーザーの名前が同じである」

- 8.1.4項「Script listAppRolesが出力する文字が正しくない」

- 8.1.5項「HTTPプロトコルを介したIDの伝播」

- 8.1.6項「プール構成がアイデンティティ・ストア内に存在しない」

8.1.1 Oracle Fusion Middleware監査フレームワーク

この項では、Oracle Fusion Middleware Audit Frameworkの構成に関する問題について説明します。次のトピックが含まれます:

- 8.1.1.1項「Oracle Access Managerの監査の構成」

- 8.1.1.2項「特定のロケールで監査レポートに翻訳されたテキストが表示されない」

- 8.1.1.3項「監査レポートが常に英語で表示される」

- 8.1.1.4項「監査ストアはEMによる再関連付けをサポートしない」

- 8.1.1.5項「OWSM監査イベントが監査されない」

8.1.1.1 Oracle Access Managerの監査の構成

Oracle Enterprise Manager Fusion Middleware ControlではOracle Access Managerはコンポーネントの1つとして表示されますが、Fusion Middleware Controlを使用してOracle Access Managerの監査を構成することはできません。

8.1.1.2 特定のロケールで監査レポートに翻訳されたテキストが表示されない

Oracle Business Intelligence Publisherでパッケージ化された標準の監査レポートでは、管理者が使用する数多くの言語がサポートされます。Oracle Business Intelligence Publisherは、様々なロケールで起動できます。管理者は「プリファレンス」で優先ロケールを設定することによって、選択した言語を起動時に指定できます。

不具合のため、Oracle Business Intelligence Publisherが次の3つのロケールのいずれかで起動されると

- zh_CN(簡体字中国語)

- zh_TW(繁体字中国語)

- pt_BR(ポルトガル語(ブラジル))

これら以外のロケールでは予期したとおりに翻訳されたテキストが表示されますが、これら3つのロケールの言語ではレポートを表示できません(ラベル、ヘッダー、タイトルなどのレポート全体が英語で表示されます)。たとえば、Oracle Business Intelligence Publisherをzh_CNで起動すると、優先ロケールがzh_CNに設定されていても、テキストをzh_CNで表示できません。情報は英語で表示されます。

この問題は、Oracle Business Intelligence Publisherの今後のリリースで修正される予定です。

8.1.1.3 監査レポートが常に英語で表示される

Oracle Business Intelligence Publisherにパッケージされている標準監査レポートでは、多数の言語がサポートされます。

不具合のため、翻訳されている場合でも、レポート・タイトルと説明が英語で表示されます。

この問題は、Oracle Business Intelligence Publisherの今後のリリースで修正される予定です。

8.1.1.4 監査ストアはEMによる再関連付けをサポートしない

リリース11gR1 (11.1.1.6.0)では、Fusion Middleware Control Enterprise Manager (EM)コンソールを使用してセキュリティ・ストアを再関連付けした場合、ほとんどのストア(ポリシー・ストア、資格証明ストアなど)が移動されましたが、監査ストアは移動されませんでした。これは、監査ストアでは、WLSTコマンドreassociateSecurityStoreを使用した再関連付けのみがサポートされ、コンソールを使用した再関連付けがサポートされていないためです。

リリース11gR1 (11.1.1.6.0)からリリース11gR1 (11.1.1.7.0)への移行がEMを使用して行われた場合、監査リポジトリはファイルベースのまま残ります。次の回避策を使用すると、すべてのセキュリティ・ストア・データをLDAP/DBに移動して、監査を有効にできます。

PS5環境で、WLSTコマンドreassociateSecurityStoreを異なるjpsrootノードで実行します。これによって、OIDディレクトリ間の再関連付けが行われ、既存の任意のデータも新しいノードに移行されます。この動作を行った場合、監査データはファイル・ベースではなくなり、jps-configに新規ノードが含まれます。

8.1.1.5 OWSM監査イベントが監査されない

リリース11.1.1.7では、不具合のため、コンポーネントに対して監査が構成された後、Web Services Manager (OWSM)の監査イベントがログに記録されません。

この問題を解決するには、次の手順を行います。

1. registerAudit WLSTコマンドを使用して、監査サービスにOWSMコンポーネントAGENT、PM-EJBを登録します。

1. registerAudit(xmlFile="$ORACLE_COMMON/modules/oracle.iau_11.1.1/components/OWSM-AGENT/component_events.xml", componentType="AGENT")

2. registerAudit(xmlFile="$ORACLE_COMMON/modules/oracle.iau_11.1.1/components/OWSM-PM-EJB/component_events.xml", componentType="PM-EJB")

2. listAuditComponents WLSTコマンドを使用して、コンポーネントのリストを取得します。たとえば、このコマンドは、complist.txtという名前のファイルにコンポーネントのリストを書き込みます。

listAuditComponents(fileName = "/tmp/complist.txt")

3. リスト内の各コンポーネントについて、次のようにWLSTコマンドsetAuditPolicyを実行します。

setAuditPolicy(componentType="<component name from complist.txt>",  filterPreset="None")

これらのコマンドの構文と使用方法の詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』(原本部品番号E10043-11)の付録C「Oracle Fusion Middleware監査フレームワーク・リファレンス」を参照してください。

8.1.2 ブートストラップ・キーの末尾の\n文字

11gR1では、XMLをLDAPストアに再関連付けする処理により、末尾の新規行文字\nまたはその等価コード&#xAを使用して、ブートストラップ・キーが作成されます。このキー値は、ファイルjps-config.xmlに書き込まれてウォレットに格納されます。両方の場所で、キー値の末尾には文字\nが含まれます。

同じウォレットを11gR1 PS1で再利用した場合、ブートストラップ・キーの取得時にシステムによって末尾の\n文字が削除されますが、ウォレット内のキー値には末尾の文字が含まれたままになります。リクエストされるキー値と格納されているキー値が一致しなくなるため、この状況はエラーにつながります。

この問題を解決するには、次の手順を行います。

1. WLSTコマンドmodifyBootStrapCredentialを使用して、末尾に\nを使用せずにウォレットの資格証明を再プロビジョニングします。コマンドの使用方法は、『Oracle Fusion Middlewareセキュリティ・ガイド』の9.5.2.5項を参照してください。

2. ファイルjps-config.xmlを手動で編集して、末尾の文字&#xAをブートストラップ・キーから削除します。

この問題が発生するのは、前述のシナリオの場合、つまり11gR1のウォレットを11gR1 PS1で再利用した場合のみです。具体的には、11gR1 PS1環境での再関連付けの際は、前述の末尾文字は問題になりません。

8.1.3 複数のアイデンティティ・ストアでユーザーの名前が同じである

同じユーザー名が複数のLDAPリポジトリ内に存在するときに、プロパティ仮想化でLibOVDを使用するよう設定されている場合、この名前に対する問合せが実行されると、ユーザーおよびロールAPIによってこれらの1つのリポジトリのみのデータが戻されます。

8.1.4 スクリプトlistAppRolesが出力する文字が正しくない

LinuxおよびWindowsプラットフォームで、ロケールがfr_FR_iso88591などのUTF8以外のロケールに設定されている場合、OPSSスクリプトlistAppRolesは、予想される文字ではなく、文字「?」を間違って出力する可能性があります。

8.1.5 HTTPプロトコルを介したアイデンティティの伝播

この項では、次の追加情報、修正情報および新情報を示します。

- HTTPプロトコルを介したIDの伝播に関する項への追加

- クライアント・アプリケーションのコード・サンプルに関する項への修正

- キーストア・サービス構成に関する項への修正

- トラスト・サービス構成パラメータの更新

8.1.5.1 HTTPプロトコルを介したIDの伝播に関する項への追加

次の新情報は、19.3.1.2項に属するものです。

即時利用可能な構成では、トークン発行者名およびキー別名はWebLogicサーバー名に基づいていることを前提としています。WebSphereでは、キー別名サーバー名はWebSphereサーバー・ルートに基づいて設定されます。たとえば、サーバー・ルートが$T_WORK/middleware/was_profiles/DefaultTopology/was_as/JrfServerの場合、サーバー名はJrfServerに設定されます。デフォルト値を変更するには、19.3.12項で説明されている手順を使用します。

8.1.5.2 クライアント・アプリケーションのコード・サンプルに関する項への修正

次のサンプルは、クライアント・アプリケーションを示しています。jps-api.jarファイルおよびOSDT jarsのosdt_ws_sx.jar、osdt_core.jar、osdt_xmlsec.jar、osdt_saml2.jarは、コード・サンプルがコンパイルするクラスパスに含める必要があります。

8.1.5.3 キーストア・サービス構成に関する項への修正

WebLogicサーバー名をjrfServer_adminとした場合、次のコマンドは、生成されたファイルdefault-keystore.jksによって表される、キーストアの作成を示しています。

8.1.5.4 トラスト・サービス構成パラメータの更新

この項の情報は新しく、スクリプトを使用したjps-config.xmlファイルのトラスト・サービス構成パラメータの変更方法について説明しています。

パラメータtrust.aliasNameおよびtrust.issuerNameの初期状態の値はWebLogicサーバー名に設定されています。これらの値をデプロイ固有の値に変更するには、次のようなスクリプトを使用します。

import sys

wlsAdmin = 'weblogic'
wlsPwd ='password_value'
wlUrl='t3://localhost:7001'
issuer= 'issuer'
alias = 'alias'

print "OPSS Trust Service provider configuration management script.\n"

instance = 'trust.provider'
name = 'trust.provider.embedded'
cfgProps = HashMap()
cfgProps.put("trust.issuerName", issuer)
cfgProps.put("trust.aliasName", alias)
pm = PortableMap(cfgProps);

connect(wlsAdmin, wlsPwd, wlUrl)
domainRuntime()

params = [instance, name, pm.toCompositeData(None)]
sign = ["java.lang.String", "java.lang.String", "javax.management.openmbean.CompositeData"]
on = ObjectName("com.oracle.jps:type=JpsConfig")
mbs.invoke(on, "updateTrustServiceConfig", params, sign)
mbs.invoke(on, "persist", None, None)

print "Done.\n"

8.1.6 プール構成がアイデンティティ・ストア内に存在しない

WebSphere Application Serverで、すぐに使用できる構成ファイルjps-config.xmlにアイデンティティ・ストアのプロパティのエントリがありません。インストール後に追加されたアイデンティティ・ストアがLDAPベースのアイデンティティ・ストアである場合、次のプロパティを、アイデンティティ・ストア・サービス・インスタンス要素内のjps-config.xmlファイルに手動で挿入する必要があります。

<property name="CONNECTION_POOL_CLASS"
value="oracle.security.idm.providers.stdldap.JNDIPool"/>

この問題を回避するには、次の手順を行います。

1. サーバーを停止します。

2. ファイルwas_profile_dir/config/cells/cell_name/fmwconfig/jps-config.xmlを編集用に開きます。ここでwas_profile_dirおよびcell_nameはシステム上のプロファイルのディレクトリ名とセル名を表します。

3. 欠落したプロパティCONNECTION_POOL_CLASSをアイデンティティ・ストア・サービス・インスタンスの構成に挿入します。

4. ファイルを保存してサーバーを再起動します。

8.2 ドキュメントの訂正箇所

この項では、ドキュメントの訂正箇所について説明します。内容は次のとおりです。

- 8.2.1項「ロール・カテゴリの更新された構成」

- 8.2.2項「setAuditRepositoryコマンド・リファレンスの例の修正」

- 8.2.3項「Demo CA証明書は本番で使用できない」

- 8.2.4項「ILMコンテンツへのリンクの誤り」

- 8.2.5項「付録Cの表タイトルの誤り」

- 8.2.6項「付録Cの注意の説明」

- 8.2.7項「サーバーの再起動が必要であること関する注意」

8.2.1 ロール・カテゴリの更新された構成

この注記には、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』(原本部品番号E10043-10)の2.8項「ロール・カテゴリ」で説明されているように、ロール・カテゴリの正しい構成が含まれます。

2.8項に示したjazn-data.xml内の要素<role-category>の構成は、次で置き換えられる必要があります。

<app-roles>
<app-role>
<name>AppRole_READONLY</name>
<display-name>display name</display-name>
<description>description</description>
<class>oracle.security.jps.service.policystore.ApplicationRole</class>
<extended-attributes>
<attribute>
<name>ROLE_CATEGORY</name>
<values>
<value>RC_READONLY</value>
</values>
</attribute>
</extended-attributes>
</app-role>
</app-roles>
<role-categories>
<role-category>
<name>RC_READONLY</name>
<display-name>RC_READONLY display name</display-name>
<description>RC_READONLY description</description>
</role-category>
</role-categories>

この修正の重要な点は次のとおりです。

- ロール・カテゴリのメンバーは<role-category>要素内で構成されませんが、対応するアプリケーション・ロールの要素<extended-attributes>内で構成されます。

8.2.2 setAuditRepositoryコマンド・リファレンスの例の修正

この注意では、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』(原本部品番号E10043-11)のC.4.5項「setAuditRepository」の誤りを修正します。

この例には次の行があります。

setAuditRepository(switchToDB='true',dataSourceName='jdbcAuditDB',interval='14')

'jdbcAuditDB'を、'jdbc/AuditDB'を読み取るように変更します。

8.2.3 Demo CA証明書は本番で使用できない

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』(原本部品番号E10043-11)の11.1.3項「ドメイン信頼ストア」で、次の注意書きをこの項の先頭に挿入します。

注意:

Demo CAには、既知のハードコードされた秘密鍵があります。Demo CAで署名された証明書は信用しないよう注意してください。そのため、信頼ストアのDemo CA証明書は本番では使用しないでください。これは、本番のドメイン信頼ストアから削除する必要があります。

8.2.4 ILMコンテンツへのリンクの誤り

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』(原本部品番号E10043-12)の「監査の構成および管理」の章の階層アーカイブに関する説明に、Oracle Information Lifecycle Management (ILM)への誤ったリンクが含まれています。

リンクは次のように読み替えてください。

http://www.oracle.com/technetwork/database/enterprise-edition/index-090321.html

8.2.5 付録Cの表タイトルの誤り

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』(原本部品番号E10043-11)の付録C Oracle Fusion Middleware監査フレームワーク・リファレンスで、表C-4のタイトルが誤っています。正しいタイトルは、「Oracle Internet Directoryイベント」とする必要があります。

8.2.6 付録Cの注意の概要

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』(原本部品番号E10043-11)の付録C「Oracle Fusion Middleware監査フレームワーク・リファレンス」の12.3.3項の冒頭にある注意事項が不完全です。この注意事項は次のように読み替えてください。

注意:

メタデータ・ストアは、実際の監査データが格納される監査データ・ストアとは別のものです。

8.2.7 サーバーの再起動の必要性に関する注意事項

『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』(原本部品番号E10043-11)の第13章「監査の構成と管理」では、監査ポリシーの変更後、サーバーを再起動する必要があると記載されています。次の項で言及されています。

- 13.3項「監査ポリシーの管理」の「ポリシーの構成方法」という見出しの第2文の下。

- 13.3.1項「Fusion Middleware ControlによるJavaコンポーネントの監査ポリシーの管理」の「注意」の2つ目の箇条書き項目。

- 13.3.2項「Fusion Middleware Controlによるシステム・コンポーネントの監査ポリシーの管理」の「注意」の2つ目の箇条書き項目。

しかし、再起動は必要ありません。管理対象サーバーでは、数分後に変更が有効になります。

9 Oracle Fusion MiddlewareでのSSL構成

この章では、Oracle Fusion MiddlewareでのSSL構成に関連する問題について説明します。次のトピックが含まれます:

- 9.1項「一般的な問題および回避策」

9.1 一般的な問題および回避策

この項では、一般的な問題および回避策について説明します。次のトピックが含まれます:

- 9.1.1項「ウォレットのインポート時の間違ったメッセージまたはエラー」

9.1.1 ウォレットのインポート時の間違ったメッセージまたはエラー

問題1

ウォレットをインポートしようとするときに無効なウォレット・パスワードを指定すると、Fusion Middleware Controlには正しくないメッセージが表示されます。表示されるメッセージ「パスワードなしでp12を作成することはできません。」は正しくありません。かわりに、パスワードが正しくないので有効なパスワードを入力するようユーザーに通知する必要があります。

問題2

パスワードで保護されたウォレットを自動ログイン・ウォレットとしてインポートしようとすると、Fusion Middleware Controlには正しくないメッセージが表示されます。表示されるメッセージ「パスワードなしでp12を作成することはできません。」には完全な情報が示されていません。かわりに、パスワードで保護されたウォレットをインポートするにはパスワードが必要であることをユーザーに通知する必要があります。

問題3

Fusion Middleware ControlまたはWLSTを使用して自動ログイン・ウォレットをパスワード保護されたウォレットとしてインポートしようとすると、NullPointerExceptionエラーが表示されます。

10 Oracle Directory Integration Platform

この章では、Oracle Directory Integration Platformに関連する問題について説明します。次の項目が含まれます。

- 10.1項「一般的な問題および回避方法」

- 10.2項「構成に関する問題と対処方法」

- 10.3項「ドキュメントの訂正箇所」

10.1 一般的な問題および回避方法

この項では、一般的な問題および回避策について説明します。次の項目が含まれます。

- Oracle WebLogic Server上でドメイン全体の管理ポートを有効にするとDIPコマンドライン・インタフェースを使用できなくなる

- ディレクトリ同期中にAttrMappingルールdnconvert()関数が機能しない

- Oracle Password Filter for Microsoft Active Directoryは、Oracle Unified DirectoryまたはOracle Directory Server Enterprise Editionとともに使用することに関して動作保証されていない

- LDIFファイルにネイティブ・エンコーディングがある場合は、非ASCII文字を含むLDIFファイルによってtestProfileコマンド・オプションが失敗する可能性がある

- 高負荷のソース・ディレクトリでの競合状態によって一部の変更が同期されない

- Oracle Directory Integration Platformの停止後に同期が続行する

- Windowsでファイル・パス・セパレータをエスケープする必要がある

- JDK 1.6 u 21では、特定の問合せとプロビジョニング・プロファイル機能が失敗する可能性がある

10.1.1 Oracle WebLogic Server上でドメイン全体の管理ポートを有効にするとDIPコマンドライン・インタフェースを使用できなくなる

ディレクトリ統合プラットフォームが稼働する任意のWebLogicサーバー上でドメイン全体の管理ポートを有効にすると、標準的な管理者アカウントでDIPコマンドライン・インタフェースを使用できなくなるので注意してください。DIPコマンドを入力すると、次のようなエラーが発生します。

ユーザー: "weblogic"の認証に失敗しました。

ただし管理者は、Enterprise Manager (EM) GUIを使用してOracle Directory Integration Platformを構成および管理することはできます。

10.1.2 ディレクトリ同期中にAttrMappingルールdnconvert()関数が機能しない

ディレクトリ同期中は、AttrMappingルールdnconvert()関数は属性マッピング・ルールが適切に適用されません。dnconvert()関数は、唯一の引数としてdnvalueを受け取り、ドメイン・マッピング・ルールに基づいて値を変換する必要があります。この場合、変換は発生しません。

次に例を示します。

DomainRules
cn=users,dc=ADdomain,dc=com:cn=users,dc=OIDdomain,dc=com:cn=%,dc=OIDdomain,c=com

###
AttributeRules
# attribute rule common to all objects
objectguid:
:binary:top:orclobjectguid:string:orclADObject:bin2b64(objectguid)
ObjectSID: :binary:user:orclObjectSID:string:orclADObject:bin2b64(ObjectSID)
distinguishedName: : :top:orclSourceObjectDN: :orclADObject:
samaccountname:::user:cn::person:
manager:::organizationalperson:manager::inetorgperson:dnconvert(manager)

この例では、Active DirectoryからOracle Internet Directoryへの新しいエントリは、samAccountName値を取得せず、managerのDN値を取得します。

10.1.3 Oracle Password Filter for Microsoft Active Directoryは、Oracle Unified DirectoryまたはOracle Directory Server Enterprise Editionとともに使用することに関して動作保証されていない

Oracle Password Filter for Microsoft Active Directoryを使用するには、Oracleバックエンド・ディレクトリがOracle Internet Directoryである必要があります。Oracle Unified Directoryバックエンド・ディレクトリおよびOracle Directory Server Enterprise Editionバックエンド・ディレクトリでは、Oracle Password Filter for Microsoft Active Directoryとの統合をサポートしていません。

10.1.4 LDIFファイルにネイティブ・エンコーディングがある場合は、非ASCII文字を含むLDIFファイルによってtestProfileコマンド・オプションが失敗する可能性がある

コマンドラインからDIPテスターを実行する場合、-ldiffileオプションが指定されており、LDIFファイルに非ASCII文字があると、manageSyncProfiles testProfileコマンドは失敗します。

この制限は、UTF-8エンコーディングのLDIFには影響しません。マルチバイト文字を含むLDIFファイルでUTF-8エンコーディングを保存できない場合、次の回避策を使用します。

1. コマンドラインから、ldapaddコマンドを使用してエントリを追加し、-Eオプションでロケールを指定します。必須コマンドの構文は、『Oracle Fusion Middleware Oracle Identity Managementユーザー・リファレンス』を参照してください。

2. 最後の追加操作では、特定のchangeNumberを取得します。

3. 前のステップのchangeNumberを使用して、testProfileコマンドを実行します。

詳細は、『Oracle Directory Integration Platform管理者ガイド』のWLSTコマンドライン・インタフェースからのDIPテスターの実行に関する項を参照してください。

10.1.5 高負荷のソース・ディレクトリでの競合状態によって一部の変更が同期されない

ソース・ディレクトリの負荷が高い場合、データベースのコミットがlastchangenumberへの更新に対応できなくなる競合状態が発生する場合があります。この競合状態が発生すると、Oracle Directory Integration Platformでは一部の変更を同期できなくなります。

この問題を回避するには、次の手順を実行して、データベースのコミットがlastchangenumberに対応できるようにします。

1. 同期プロファイルの「スケジューリングの間隔」の値を増やします。

2. プロファイルでsearchDeltaSizeパラメータを設定することで、同期サイクルの中でソース・ディレクトリで実行される検索の回数を制御します。最初は値を10に設定し、後で必要に応じて値を調整することをお薦めします。

10.1.6 Oracle Directory Integration Platformの停止後に同期が続行する

Oracle Directory Integration Platformアプリケーションを同期の実行中に停止すると、クォーツ・スケジューラによって開始された同期プロセスが継続して実行されます。

この問題を回避するには、Oracle Directory Integration PlatformをホストするOracle WebLogic管理対象サーバーを再起動するか、Oracle Directory Integration Platformアプリケーションを再デプロイします。

10.1.7 Windowsでファイル・パス・セパレータをエスケープする必要がある

Windowsでは、プロファイル・プロパティ・ファイル内およびOracle Directory Integration Platformコマンドの実行時、バックスラッシュ(\)を使用してファイル・パス・セパレータをエスケープする必要があります。次に例を示します。

- プロファイル・プロパティ・ファイル内:

odip.profile.configfile = C:\\test\\Oracle_
IDM1\\ldap\\odi\\conf\\activeimp.cfg.master

- manageDIPServerConfigなどのOracle Directory Integration Platformコマンドの実行時:

C:\test\Oracle_IDM1\BIN>manageDIPServerConfig.bat set -attribute \
keystorelocation -h myhost.mycompany.com -p 7005 -D LOGIN_ID \
-value C:\\test\\Oracle_IDM1\\bin\\server_keystore.jks

10.1.8 JDK 1.6 u 21では、特定の問合せとプロビジョニング・プロファイル機能が失敗する可能性がある

LDAP JNDIフィルタの処理は、JDK 1.6 u21ではより厳密になるよう更新されています。そのため、Oracle Directory Integration Platformで実行される特定の問合せはJDK 1.6 u21では失敗する場合があり、プロビジョニング・プロファイル機能にも影響する場合があります。この問題を解決するには、My Oracle Support(旧MetaLink)からダウンロード可能なパッチ10631569をダウンロードし、適用する必要があります。https://support.oracle.comからMy Oracle Supportにアクセスします。

Identity Management 11.1.1.4.0には、パッチ10631569をダウンロードし、適用することをお薦めします。

10.2 構成に関する問題と対処方法

この項では、構成に関する問題およびその回避策について説明します。次の項目が含まれます。

- Novell eDirectoryのマッピング・ルールの更新

- Oracle Directory Integration Platformの構成時、Oracle Internet Directoryホスト名としてlocalhostを使用しない

- Oracle Unified Directoryに対してdipConfiguratorを実行した後にDirectory Integration Platformの再起動が必要な場合がある

- プロファイルの構成時、マッピング・ルールを表示するのに空白のセクションを越してスクロールすることが必要な場合がある

- 複数のIDMドメインが同じホスト上で実行される場合、リソース使用量グラフが表示されない

10.2.1 Novell eDirectoryのマッピング・ルールの更新

ディレクトリ統合プラットフォームがNovell eDirectoryと統合されている場合、または後でNovell eDirectoryと統合する場合、eDirプロファイルでマッピング・ルールを編集します。そうしないと、インストール・プログラムは次のようなエラー・メッセージを返します。

Map rules "orclodipattributemappingrules" have the following errors:
Attribute rule "0" has error: Invalid destination attribute's type: Expecting
'binary'; found 'string'.

Novell eDirectoryと統合されていない場合、新しいプロファイルを登録する前に、デフォルトのテンプレートのマッピング・ファイルを更新します。

注意:

マッピング・ルール・ファイルのエントリの変更方法の詳細は、『Oracle Directory Integration Platform管理者ガイド』のマッピング・ルールの更新に関する項を参照してください。

1. 既存のプロファイルまたは新しいプロファイルの次のエントリで、マッピング・ルールを更新します。

guid:1:binary:top:orclndsobjectguid:string:orclndsobject:bin2b64(guid)

これを次のマッピングに置き換えます。

guid:1:binary:top:orclndsobjectguid:binary:orclndsobject:bin2b64(guid)

2. 変更を保存します。

10.2.2 Oracle Directory Integration Platformの構成時、Oracle Internet Directoryホスト名としてlocalhostを使用しない

インストーラの「インストールと構成」インストール・オプションまたはOracle Identity Management 11gリリース1 (11.1.1)の構成ウィザードを使用してOracle Directory Integration Platformを既存のOracle Internet Directoryに対して構成する場合、完全修飾ドメイン名(myhost.example.comなど)を使用してOracle Internet Directoryのホスト名を指定する必要があります。Oracle Directory Integration PlatformとOracle Internet Directoryが同じホストに共存する場合でも、localhostをOracle Internet Directoryのホスト名とし使用しないでください。

localhostをOracle Internet Directoryのホスト名として使用すると、Oracle Directory Integration PlatformをホストするOracle WebLogic管理対象サーバーを起動できません。

10.2.3 Oracle Unified Directoryに対してdipConfiguratorを実行した後にDirectory Integration Platformの再起動が必要な場合がある

Oracle Unified Directory (OUD)エンドポイントに対してdipConfiguratorを実行した後に、Enterprise MangerでDirectory Integration Platform (DIP) UIを開けない場合は、DIPを停止して起動し、UIの問題を解決してください。

10.2.4 プロファイルの構成時、マッピング・ルールを表示するのに空白のセクションを越してスクロールすることが必要な場合がある

Internet Explorerを使用してDirectory Integration Platform (DIP) UIを表示しているとき、プロファイル・マッピング・ルール・セクションを確認するために、大きな空白領域を越してスクロールすることが必要な場合があります。この問題は、他のブラウザに影響を与えるか不明です。

10.2.5 複数のIDMドメインが同じホスト上で実行される場合、リソース使用量グラフが表示されない

同じホスト上の2つのIDMドメインが同じOracleホームを共有し、どちらもwls_ods1管理対象サーバーを使用するように構成されている場合、両方のインスタンスが同時に実行されていると、DIPホーム・ページにリソース使用量グラフが表示されません。

10.3 ドキュメントの訂正箇所

この時点で既知のドキュメントの問題はありません。

11 Oracle Virtual Directory

この章では、Oracle Virtual Directoryに関連する問題について説明します。次の項目が含まれます。

- 11.1項「一般的な問題および回避策」

- 11.2項「構成に関する問題と回避策」

- 11.3項「ドキュメントの訂正箇所」

11.1 一般的な問題および回避方法

この項では、一般的な問題および回避策について説明します。次の項目が含まれます。

- 11.1.1項「Enterprise ManagerでリスナーのSSL構成にサポートされていない暗号スイートが選択されているとOracle Virtual Directoryが開始できない」

- 11.1.2項「EUSアダプタの作成に失敗」

- 11.1.3項「Sybase用DBアダプタの作成時に手動でadapters.os_xmlファイルを編集」

- 11.1.4項「ODSMへのパッチ適用後、Enterprise ManagerでODSMのバージョンが11.1.1.6.0に変更されない」

- 11.1.5項「ODSMバグによりodsmSkin.cssファイルの編集が必要」

- 11.1.6項「Oracle Directory Services Managerブラウザ・ウィンドウが使用できない」

- 11.1.7項「複数のOracle Virtual Directoryコンポーネントを管理していてその1つを停止すると、Oracle Directory Services Managerで例外が起きる場合がある」

- 11.1.8項「アクセス制御ポイントに関連付けられているDNのOracle Directory Services Managerでの識別」

- 11.1.9項「Fusion Middleware ControlのOracle Virtual Directoryのメトリックの問題」

- 11.1.10項「TimesTenデータベースに対してLDAPSEARCHを実行する際にワイルドカードを使用すると操作エラーが発生する」

- 11.1.11項「ODSMバージョン11.1.1.4.0がOVDバージョン11.1.1.2.0または11.1.1.3.0をサポートしていない」

- 11.1.12項「ODSMバージョン11.1.1.5.0がOVDバージョン11.1.1.2.0、11.1.1.3.0または11.1.1.4.0をサポートしていない」

- 11.1.13項「ODSMバージョン11.1.1.6.0がOVDバージョン11.1.1.2.0、11.1.1.3.0、11.1.1.4.0または11.1.1.5.0をサポートしていない」

- 11.1.14項「JDK6を使用するWindowsプラットフォーム上のIPv6スタックに関するOracle Virtual Directoryの問題」

- 11.1.15項「SSOを使用したODSMを使用している場合、ASCII以外の名前を持つユーザーに問題が発生する可能性がある」

- 11.1.16項「属性/オブジェクト・クラスを作成するとNPEエラーが発生する」

- 11.1.17項「アカウント・ロックアウト機能を有効化するために必要なパッチ」

- 11.1.18項「Internet Explorer 7でのODSMの問題」

- 11.1.19項「EUSウィザードでのユーザー・アカウントのロックアウトを有効にする新しい機能に関連する文字列がローカライズされない」

- 11.1.20項「ODSM 11.1.1.1.0で作成されたすべての接続はOVDまたはOIDバージョン11.1.1.7.0へのアップグレード後に失われる」

- 11.1.21項「OVDのアップグレード後に間違ったODSMバージョンがEnterprise Managerコンソールに表示される」

- 11.1.22項「WindowsでOracle Virtual Directoryバージョン11.1.1.6.0および11.1.1.7.0の起動に失敗する」

- 11.1.23項「OVDへの接続の問題」

- 11.1.24項「ODSMバージョン11.1.1.70がOVDバージョン11.1.1.2.0、11.1.1.3.0、11.1.1.4.0、11.1.1.5.0または11.1.1.6.0をサポートしていない」

- 11.1.25項「必須属性をNullに更新すると変更が完了する」

11.1.1 Enterprise ManagerでリスナーのSSL構成にサポートされていない暗号スイートが選択されているとOracle Virtual Directoryが開始できない

Enterprise ManagerでOracle LDAPリスナーを作成してから、SSL認証に「SSLの有効化」を選択することで、リスナーのSSL設定の変更を編集する場合、Enterprise Managerは暗号スイートTLS_DHE_RSA_WITH_AES_128_CBC_SHA256を選択します。この暗号スイートが選択されると、Oracle Virtual Directoryは完全に起動しません。

Oracle Virtual Directoryでは、次のプロトコルがサポートされます。

- TLSv1

- SSLv2Hello

- SSLv3

注意:

プロトコルごとにサポートされている暗号化の完全なリストは、次の場所にあります。

http://www.openssl.org/docs/apps/ciphers.html

この問題を回避するには、暗号スイートの構成時にEnterprise Managerに対してリストされたすべての暗号化を手動でオフにします。

11.1.2 EUSアダプタの作成に失敗

Oracle Directory Services Managerでウィザードを使用してEUSアダプタを作成しているときに、アダプタおよびACLが正常に作成されなかったことを示すエラー・メッセージが定期的に表示されます。

この問題を回避するには、次の手順を行います。

- ACLのロード中にエラーが発生し、EUS構成中にACLの一部のみがロードされた場合、次のコマンドを実行して、残りのACLを手動でロードできます。

$ORACLE_HOME/bin/ldapmodify -c -v -h <ovd_host> -p <ovd_port> -D cn=orcladmin -w <orcladmin_password> -f
$ORACLE_HOME/ovd/eus/eusACLTemplate.ldif

- それ以外の手順でエラーが発生した場合、次の手順を使用して、Oracle Virtual Directoryから部分的な構成を手動でクリーンアップしてから、EUS用にOracle Virtual Directoryを再構成します。

1. すべてのローカル・ストアと作成されたLDAP EUSを削除します。

2. LSA EUSアダプタ・データ・ファイルをローカル・ファイル・システムから削除します。

3. ディレクトリ・タイプに基づき(存在する場合)、EUS pyマッピングをアンデプロイします。

4. EUSウィザード・アイコンを再度クリックして再構成します。

11.1.3 Sybase用DBアダプタの作成時に手動でadapters.os_xmlファイルを編集

バックエンドとしてSybaseを使用するデータベース・アダプタの作成により、Oracle Virtual Directoryが「無効なデータベース接続」エラーで失敗します。

この問題を回避するには、同じデータベース接続情報を使用して、adapters.os_xmlファイルを手動で編集します。

11.1.4 ODSMへのパッチ適用後、Enterprise ManagerでODSMのバージョンが11.1.1.6.0に変更されない

Enterprise Managerに表示されるOracle Directory Services Managerのバージョンは、アプリケーションのバージョンですが、Oracle Directory Services Managerにパッチを適用しても変更されません。

Oracleライフサイクル・チームは、すべてのEnterprise Managerコンポーネントが同じアプリケーション・バージョンを保持することを要求しています。しかし、使用しているOracle Directory Services Managerのバージョンを顧客が認識するために、Oracle Directory Services Managerでは実際の(パッチ)バージョンを保持しますが、Enterprise Managerではアプリケーション・バージョンを保持するため、この不一致が発生します。

この問題は、リリース11.1.1.3.0からの既知の問題です。

11.1.5 ODSMバグによりodsmSkin.cssファイルの編集が必要

ファイルodsmSkin.css内のコメントの位置の誤りにより、Oracle Directory Services Managerホーム・ページの一部のラベルが正しく表示されません。特に、右側のダイアグラムのラベルの位置が誤っているか欠落しています。

この問題を回避するには、次の手順を行います。

1. wls_ods1管理対象サーバーとWebLogic管理サーバーを停止します。

2. ファイルを編集します。

MW_HOME/user_projects/domains/DOMAIN_HOME/servers/MANAGED_SERVER_NAME/tmp/_WL_user/ODSM_VERSION_NUMBER/RANDOM_CHARACTERS/war/skins/odsmSkin.css

次に例を示します。

wlshome/user_projects/domains/base_domain/servers/wls_ods1/tmp/_WL_user/odsm_11.1.1.2.0/z5xils/war/skins/odsmSkin.css

編集前のodsmSkin.cssファイルは次のようになっています。

@agent ie /*========== Fix for bug#7456880 ==========*/
{
af|commandImageLink::image,
af|commandImageLink::image-hover,
af|commandImageLink::image-depressed
{
vertical-align:bottom;
}
}

コメントを移動します。

/*========== Fix for bug#7456880 ==========*/

この行の上になるように

@agent ie

編集後のファイルは次のようになります。

/*========== Fix for bug#7456880 ==========*/
@agent ie
{
af|commandImageLink::image,
af|commandImageLink::image-hover,
af|commandImageLink::image-depressed
{
vertical-align:bottom;
}
}

3. WebLogic管理サーバーおよびwls_ods1管理対象サーバーを再起動します。

11.1.6 Oracle Directory Services Managerブラウザ・ウィンドウが使用できない

Fusion Middleware ControlからOracle Directory Services Managerを起動し、新規Oracle Directory Services Managerタスクを選択すると、ブラウザ・ウィンドウが使用できなくなる場合があります。たとえば、ウィンドウが繰り返しリフレッシュしたり、空白ページとして表示されたり、ユーザー入力を受け付けなかったり、nullポインタ・エラーを表示します。

回避方法として、URL: http://host:port/odsmに移動します。hostおよびportは、Oracle Directory Services Managerが実行されている場所を示します。たとえば、http://myserver.example.com:7005/odsmなどです。これにより、Oracle Directory Services Managerウィンドウを使用してサーバーにログインできるようになります。

11.1.7 複数のOracle Virtual Directoryコンポーネントを管理していてその1つを停止すると、Oracle Directory Services Managerで例外が起きる場合がある

同じOracle Directory Services Managerセッションから複数のOracle Virtual Directoryコンポーネントを管理する場合、Oracle Virtual Directoryコンポーネントの1つを停止すると、例外またはエラーが表示されることがあります。たとえば、同じOracle Directory Services Managerセッションからovd1およびovd2という名前のOracle Virtual Directoryコンポーネントを管理するとします。ovd1とovd2の両方とも構成され、実行されています。ovd1を停止し、Oracle Directory Services Manager内を移動しようとすると、例外または「ターゲットにアクセスできない」というメッセージが表示される場合があります。

この問題を回避するには、現在のOracle Directory Services Managerセッションを終了し、Webブラウザを閉じてから、新しいOracle Directory Services ManagerセッションでOracle Virtual Directoryコンポーネントに接続します。

11.1.8 アクセス制御ポイントに関連付けられているDNのOracle Directory Services Managerでの識別

Oracle Directory Services Managerを使用してアクセス制御ポイント(ACP)を作成すると、ACPを作成したDNの相対識別名(RDN)が画面の左側のナビゲーション・ツリーに表示されます。たとえば、cn=ForExample,dc=us,dc=sales,dc=westというDNでACPを作成すると、ナビゲーション・ツリーにcn=ForExampleが表示されます。ナビゲーション・ツリーでACPをクリックすると、その設定が画面の右側に表示され、関連付けられているRDNがページの上部に表示されます。

ACPに関連付けられているDNを識別するには、ナビゲーション・ツリーでACP上にカーソルを移動(マウス・オーバー)します。ACPに関連付けられている完全DNがツールチップ・ダイアログ・ボックスに表示されます。

ナビゲーション・ツリーでのACPのマウス・オーバーは、次のようにRDNが同一のDNに関連付けられているACPが複数ある場合に便利です。

ACP 1 = cn=ForExample,dc=us,dc=sales,dc=west

ACP 2 = cn=ForExample,dc=us,dc=sales,dc=east

11.1.9 Fusion Middleware ControlのOracle Virtual Directoryのメトリックの問題

ここでは、Fusion Middleware ControlのOracle Virtual Directoryメトリックの問題について説明します。内容は次のとおりです。

- 11gリリース1 (11.1.1)へのアップグレード後、Fusion Middleware Controlでパフォーマンス・メトリックのレポートが可能なように操作固有のプラグインを構成

11.1.9.1 11gリリース1(11.1.1)へのアップグレード後、Fusion Middleware Controlでパフォーマンス・メトリックのレポートが可能なように操作固有のプラグインを構成

追加、バインド、取得などの特定の操作で実行されるようプラグインが構成されているOracle Virtual Directoryリリース10gインストールを11gリリース1 (11.1.1)にアップグレードした場合、Fusion Middleware Controlを使用してパフォーマンス・メトリックを表示する前に、これらの操作固有のプラグインを更新する必要があることがあります。

11gリリース1 (11.1.1)へアップグレードし、アップグレードが成功かどうかを確認する初期操作を行った後、Fusion Middleware ControlでOracle Virtual Directoryホームページをチェックします。「現行ロード」および「平均レスポンス時間と操作」メトリックのデータが表示されるはずです。

これらのメトリックのデータが表示されない場合、特定の操作で実行されるよう構成されているプラグインを更新する必要があります。回避方法は、パフォーマンス監視プラグインを操作固有のプラグインの構成チェーンに追加することです。

次の手順を実行して、パフォーマンス監視プラグインを操作固有のプラグインの構成チェーンに追加します。

1. 操作固有のプラグインがグローバル・レベルのプラグインの場合、ORACLE_INSTANCE/config/OVD/NAME_OF_OVD_COMPONENT/ディレクトリにあるserver.os_xmlファイルを編集します。
操作固有のプラグインがアダプタ・レベルのプラグインの場合、ORACLE_INSTANCE/config/OVD/NAME_OF_OVD_COMPONENT/ディレクトリにあるadapters.os_xmlファイルを編集します。

注意:

複数のアダプタが構成されている場合、adapters.os_xmlファイルのアダプタ構成ごとにステップ2と3を実行する必要があります。

2. ファイルでpluginChains要素を見つけます。たとえば、トランザクションのダンプ・プラグインが取得操作で実行されるよう構成されている場合、次のようになります。

例11-1 取得操作について構成されているトランザクションのダンプ・プラグイン

<pluginChains xmlns="http://xmlns.oracle.com/iam/management/ovd/config/plugins">
<plugins>
<plugin>
<name>Dump Transactions</name>
<class>com.octetstring.vde.chain.plugins.DumpTransactions.DumpTransactions</class>
<initParams>
<param name="loglevel" value="info"/>
</initParams>
</plugin>
<plugin>
<name>Performance Monitor</name>
<class>com.octetstring.vde.chain.plugins.performance.MonitorPerformance</class>
<initParams/>
</plugin>
</plugins>
<default>
<plugin name="Performance Monitor"/>
</default>
<get>
<plugin name="Dump Transactions">
<namespace>ou=DB,dc=oracle,dc=com </namespace>
</plugin>
</get>
</pluginChains>

3. 次のパフォーマンス監視プラグイン要素を操作固有の構成チェーンに追加します。

<plugin name="Performance Monitor"/>

次に例を示します。

例11-2 操作固有のプラグイン構成チェーンへのパフォーマンス監視の追加

<pluginChains xmlns="http://xmlns.oracle.com/iam/management/ovd/config/plugins">
<plugins>
<plugin>
<name>Dump Transactions</name>
<class>com.octetstring.vde.chain.plugins.DumpTransactions.DumpTransactions</class>
<initParams>
<param name="loglevel" value="info"/>
</initParams>
</plugin>
<plugin>
<name>Performance Monitor</name>
<class>com.octetstring.vde.chain.plugins.performance.MonitorPerformance</class>
<initParams/>
</plugin>
</plugins>
<default>
<plugin name="Performance Monitor"/>
</default>
<get>
<plugin name="Dump Transactions">
<namespace>ou=DB,dc=oracle,dc=com </namespace>
</plugin>
<plugin name="Performance Monitor"/>
</get>
</pluginChains>

4. ファイルを保存します。

5. Oracle Virtual Directoryを再起動します。

11.1.10 TimesTenデータベースに対してLDAPSEARCHを実行する際にワイルドカードを使用すると操作エラーが発生する

現在、TimesTenのバグにより、TimesTenを使用したデータベース・アダプタでワイルドカード検索(「cn=t*」など)が使用できません。

この問題を回避するには、「大/小文字区別なしの検索」オプションを有効化し、検索で使用する任意のデータベース列に必要な言語索引を作成します。

詳細は、関連するTimesTen拡張リクエスト、Bug#9885055および『Oracle Virtual Directory管理者ガイド』のOracle TimesTenインメモリー・データベースのデータベース・アダプタの作成に関する項を参照してください。

11.1.11 ODSMバージョン11.1.1.4.0がOVDバージョン11.1.1.2.0または11.1.1.3.0をサポートしていない

Oracle Directory Services Managerバージョン11.1.1.4.0は、Oracle Virtual Directoryバージョン11.1.1.2.0または11.1.1.3.0をサポートしていません。

Oracle Directory Services Managerバージョン11.1.1.4.0で導入された変更によって構成の監査が向上しますが、これらの変更により、Oracle Virtual Directory 11.1.1.4.0を使用する必要があります。

11.1.12 ODSMバージョン11.1.1.5.0がOVDバージョン11.1.1.2.0、11.1.1.3.0または11.1.1.4.0をサポートしていない

Oracle Directory Services Managerバージョン11.1.1.5.0は、Oracle Virtual Directoryバージョン11.1.1.2.0、11.1.1.3.0または11.1.1.4.0をサポートしていません。

Oracle Directory Services Managerバージョン11.1.1.5.0で導入された変更によって構成の監査が向上しますが、これらの変更により、Oracle Virtual Directory 11.1.1.5.0を使用する必要があります。

11.1.13 ODSMバージョン11.1.1.6.0がOVDバージョン11.1.1.2.0、11.1.1.3.0、11.1.1.4.0または11.1.1.5.0をサポートしていない

Oracle Directory Services Managerバージョン11.1.1.6.0は、Oracle Virtual Directoryバージョン11.1.1.2.0、11.1.1.3.0、11.1.1.4.0または11.1.15.0をサポートしていません。

Oracle Directory Services Managerバージョン11.1.1.6.0で導入された変更によって構成の監査が向上しますが、これらの変更により、Oracle Virtual Directory 11.1.1.6.0を使用する必要があります。

11.1.14 JDK6を使用するWindowsプラットフォーム上のIPv6スタックに関するOracle Virtual Directoryの問題

JDK 6を使用してMicrosoft WindowsプラットフォームでCRUD操作を実行すると、NIO(非ブロッキング入出力)モードで問題が発生します。非ブロッキング入出力に問題があるからです。同じ問題がWindowsデュアル・スタック(IPv4/IPv6)システムでのIPv6アドレスでも発生します。

注意:

IPv6スタックに対するサポートはJDK 7ビルドb36で追加されました。

詳細は、JDKバグID 6230761 (http://bugs.sun.com/view_bug.do?bug_id=6230761)および4640544 (http://bugs.sun.com/view_bug.do?bug_id=4640544)を参照してください。

Oracle Virtual Directory開発チームはJDK 7でこのユース・ケースを検証し、Oracle Virtual DirectoryのNIOモードで動作することを確認しました。

回避策:

注意:

この回避方法をOracle Virtual Directoryサーバーに適用する必要があります。

Oracle Virtual Directoryサーバーで、<OracleInstance>/config/OVD/ovd1/listeners.os_xmlの次の場所に<useNIO>false</useNIO> XML要素を追加し、NIOモードをオフにしてから、Oracle Virtual Directoryサーバーを停止して再起動します。

<ldap id="LDAP Endpoint" version="0">
<port>6501</port>
...
<socketOptions>
...
</socketOptions>
<useNIO>false</useNIO>
</ldap>

11.1.15 SSOとともにODSMを使用する際にASCII以外の名前を持つユーザーで問題が発生する可能性がある

シングル・サインオン用としてOracle Access Manager 11gリリース1 (11.1.1.2)を使用するようOracle Directory Services Managerが構成されている場合、ASCII以外の文字が名前に含まれるユーザーがログインした後、次の問題が発生することがあります。

- ホームページに表示されるユーザー名が文字化けします。

- Oracle Virtual Directoryサーバーに対するシングル・サインオン接続が接続のリストに表示されません。

11.1.16 属性/オブジェクト・クラスを作成するとNPEエラーが発生する

Oracle Directory Services Managerをアップグレードした後、属性またはオブジェクト・クラスを作成すると、NPEエラーが発生します。

回避策:

作成が失敗するたびに「リフレッシュ」をクリックし、エントリをリフレッシュします。

11.1.17 アカウント・ロックアウト機能を有効化するために必要なパッチ

アカウント・ロックアウト機能を有効化するには、追加パッチ10365116が必要です。

また、Oracle Virtual Directoryは、アカウントが完全にロックアウトされるまでADのbadpasswdcountを更新できません。つまり、AD badpasswdcountは、ADに設定されている不正パスワードの試行回数に達したときに正しい数を示します。

11.1.18 Internet Explorer 7でのODSMの問題

Oracle Directory Services Managerインタフェースは、Internet Explorer 7に示されるようには表示されない場合があります。

たとえば、「ログアウト」リンクが表示されないことがあります。

これが問題の原因となる場合は、Internet Explorer 8または9にアップグレードするか、別のブラウザを使用してください。

11.1.19 EUSウィザードでのユーザー・アカウントのロックアウトを有効にする新しい機能に関連する文字列がローカライズされない

Oracle Virtual DirectoryのEUSウィザードで提供される、ユーザー・アカウントのロックアウトを有効にする新しい機能(および関連メッセージ)はローカライズされていません。

11.1.20 ODSM 11.1.1.1.0で作成されたすべての接続はOVDまたはOIDバージョン11.1.1.7.0へのアップグレード後に失われる

Oracle Directory Services Managerバージョン11.1.1.2.0への一部のデプロイメントの変更により、Oracle Virtual Directoryバージョン11.1.1.7.0またはOracle Internet Directoryバージョン11.1.1.7.0にアップグレードすると、Oracle Directory Services Managerバージョン11.1.1.1.0で作成された任意の接続は失われます。

Oracle Virtual Directoryバージョン11.1.1.7.0またはOracle Internet Directoryバージョン11.1.1.7.0にアップグレードした後、初めて再接続するときに、Oracle Directory Services Managerは接続の詳細のキャッシュを再開します。

11.1.21 OVDのアップグレード後に間違ったODSMバージョンがEnterprise Managerコンソールに表示される

Enterprise Managerコンソールでは、すべてのパッチ・セット・リリースに対してOracle Directory Services Managerのバージョンは自動的に11.1.1.2.0と表示されます。このOracle Directory Services Managerのバージョン番号は、アップグレードすると、パッチ・セット・バージョンと一致するようにインクリメントされません。

11.1.22 WindowsでOracle Virtual Directoryバージョン11.1.1.6.0および11.1.1.7.0の起動に失敗する

Windows 2003および2008マシン(32ビットと64ビットの両方)のバージョン11.1.1.6.0および11.1.1.7.0では、Oracle Virtual Directoryの起動が例外で失敗します。

この問題を回避するには、Oracle Virtual Directoryを含むインスタンスを起動する前に次の手順を実行します。

1. 次の場所でcwallet.ssoファイルを探します。

$instance_home\config\jps\bootstrap\cwallet.sso

2. write権限をSYSTEMユーザーの割当て済権限に追加します。

3. Oracle Virtual Directoryインスタンスを起動します。

11.1.23 OVDへの接続の問題

Linux以外の環境で、Oracle Directory Services Manager、LDAPツール、またはその他任意のアプリケーションからOracle Virtual Directoryへの接続に問題がある場合、次の手順を使用して、非SSLリスナーでNIOを無効にする必要があります。

1. コマンド・ウィンドウからOracle Virtual Directoryを停止します。

$ORACLE_INSTANCE/bin/opmnctl stopproc ias-component=ovd1

2. 次のように、$ORACLE_INSTANCE/config/OVD/ovd1/listeners.os_xmlファイルを編集します。

1. 次のLDAP非SSLリスナー・セクションを見つけます。

<ldap id="LDAP Endpoint" version="0">
<port>6501</port>
<host>0.0.0.0</host>
.........
.........
<tcpNoDelay>true</tcpNoDelay>
<readTimeout>0</readTimeout>
</socketOptions>
</ldap>

2. 次のように、<useNIO>false</useNIO>,を追加して、このセクションを変更します。

<ldap id="LDAP Endpoint" version="0">
<port>6501</port>
<host>0.0.0.0</host>
.........
.........
<tcpNoDelay>true</tcpNoDelay>
<readTimeout>0</readTimeout>
</socketOptions>
<useNIO>false</useNIO>
</ldap>

3. Oracle Virtual Directoryを起動します。

$ORACLE_INSTANCE/bin/opmnctl startproc ias-component=ovd1

この変更により、接続の問題は解決するはずです。

11.1.24 ODSMバージョン11.1.1.70がOVDバージョン11.1.1.2.0、11.1.1.3.0、11.1.1.4.0、11.1.1.5.0または11.1.1.6.0をサポートしていない

Oracle Directory Services Managerバージョン11.1.1.7.0は、Oracle Virtual Directoryバージョン11.1.1.2.0、11.1.1.3.0、11.1.1.4.0、11.1.1.5.0または11.1.1.6.0をサポートしていません。

Oracle Directory Services Managerバージョン11.1.1.7.0で導入された変更によって構成の監査が向上しますが、これらの変更により、Oracle Virtual Directory 11.1.1.7.0を使用する必要があります。

11.1.25 必須属性をNullに更新すると変更が完了する

modify操作で空の値を持つ属性を追加した場合、その属性タイプで空の値を許可していなくても、エラーが返されなくなりました。たとえば、ldapmodify ADD snに空の値がある場合、以前は無効な構文エラーを返していましたが、現在は何のエラーも返さなくなりました。その他のmodify操作の失敗は、正しくレポートされます。

11.1.26 オンライン・ヘルプ・セクションが動作しない

Oracle Directory Services Managerのオンライン・ヘルプ・セクションはInternet Explorer 10 (IE10)のWebブラウザでは動作しません。

11.2 構成の問題および回避方法

この項では、構成に関する問題およびその回避策について説明します。次の項目が含まれます。

- 11.2.1項「SSL相互認証用のOVD/OIDアダプタの構成」

11.2.1 SSL相互認証用のOVD/OIDアダプタの構成

『Oracle Fusion Middleware Oracle Virtual Directory管理者ガイド』にも『Oracle Fusion Middleware管理者ガイド』にも、SSL相互認証用のOracle Virtual Directory/Oracle Internet Directoryアダプタの設定方法が記載されていません。この情報は、ノート1449118.1および1311791.1に記載されています。これらは次の場所にあるMy Oracle Supportで入手できます。

https://support.oracle.com/

11.3 ドキュメントの訂正箇所

この項では、『Oracle Virtual Directory管理者ガイド』の訂正箇所について説明します。次の項目が含まれます。

- Oracle Virtual Directoryを使用したOracle Unified Directoryのデプロイ

11.3.1 Oracle Virtual Directoryを使用したOracle Unified Directoryのデプロイ

Oracle Virtual Directoryを使用してOracle Unified DirectoryをLDAPデータ・ソースとしてデプロイできます。Oracle Virtual Directoryを使用したOracle Unified Directoryのデプロイ方法の詳細は、『Oracle® Fusion Middleware Oracle Virtual Directory管理者ガイド』のLDAPアダプタの作成に関する項を参照してください。

オラクル社の法律上の注意点について

コピーライトについて

Copyright © 1994-2014, Oracle and/or its affiliates.All rights reserved.

商標と登録商標について

OracleおよびJavaはOracle Corporationおよびその関連企業の登録商標です。その他の名称は、それぞれの所有者の商標または登録商標です。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXは、The Open Groupの登録商標です。

ライセンス制約の保証と結果的に生じる損害の免責

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

保証免責

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

制限付権利

このソフトウェアまたは関連ドキュメントを、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供する場合は、次の通知が適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs.No other rights are granted to the U.S. Government.

危険な用途への使用について

このソフトウェアもしくはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアもしくはハードウェアは、危険が伴うアプリケーション（人的傷害を発生させる可能性があるアプリケーションを含む）への用途を目的として開発されていません。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用する際、安全に使用するために、適切な安全装置、バックアップ、冗長性（redundancy）、その他の対策を講じることは使用者の責任となります。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

第三者のコンテンツ、製品、サービスに対する免責事項

このソフトウェアまたはハードウェア、そしてドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても一切の責任を負いかねます。

ドラフトのアルファ版およびベータ版ドキュメントについて

このドキュメントが試作版の場合:

このドキュメントは試作版であり、デモおよび暫定使用のみを目的としたものです。このソフトウェアを使用するハードウェアに限定するものではありません。オラクル社およびその関連会社は、このドキュメントに関して一切の責任を負わず、いかなる保証もいたしません。また、このドキュメントを使用したことによって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。