Oracle® Fusion Middleware

Enterprise Single Sign-On Suiteリリース・ノート

11g リリース2 (11.1.2.2)

E51900-03(原本部品番号:E37689-03)

2014年4月

Oracle Fusion Middleware Enterprise Single Sign-On Suiteリリース・ノート, 11g リリース2 (11.1.2.2)

E51900-03

Copyright © 1998, 2014, Oracle and/or its affiliates. All rights reserved.

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます誤りを見つけた場合は、オラクル社までご連絡ください。

このソフトウェアまたは関連ドキュメントを、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供する場合は、次の通知が適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations. As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs. No other rights are granted to the U.S. Government.

このソフトウェアもしくはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアもしくはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用する際、安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

OracleおよびJavaはOracle Corporationおよびその関連企業の登録商標です。その他の名称は、それぞれの所有者の商標または登録商標です。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXはThe Open Groupの登録商標です。

このソフトウェアまたはハードウェア、そしてドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても一切の責任を負いかねます。

目次

タイトルおよび著作権情報

はじめに

- 対象読者

- ドキュメントのアクセシビリティについて

- 関連ドキュメント

- 表記規則

1 Oracle Enterprise Single Sign-On Suite 11g リリース2 (11.1.2.2)

- 1.1 インストールおよびアップグレード・ノート

- 1.2 Oracle Enterprise Single Sign-On Suite 11.1.2.2の新機能

- 1.2.1 Javaベースのヘルプ・システム(32ビットJava Runtime Environmentが必要)

- 1.3 管理コンソール

- 1.3.1 アクセス・ポータル・アプリケーション・ポリシーの構成のサポート

- 1.3.2 Oracle Privileged Account ManagerターゲットへのLogon Managerアプリケーション・テンプレートのマッピングのサポート

- 1.4 Logon Manager

- 1.4.1 キオスク環境でのWindows Authenticator v2サポート

- 1.4.2 LDAPオーセンティケータv2でのセカンダリ認証サポート

- 1.4.3 LDAPオーセンティケータ・バージョン1は非推奨となりました

- 1.4.4 カスタマイズ可能な「Pause Logon Manager」システム・トレイ・オプション

- 1.4.5 資格証明委任の強化された管理権限

- 1.5 Universal Authentication Manager

- 1.5.1 Logon Managerにおけるプライマリ・オーセンティケータとして構成可能な個別のログオン方法

- 1.5.2 Windows 7 x64サポート

- 1.5.3 Windows 7でのKiosk Managerのサポート

- 1.6 Password Reset

- 1.6.1 Windows Server 2012サポート

- 1.6.2 モバイル・ブラウザ・サポート

- 1.7 Provisioning Gateway

- 1.7.1 Windows Server 2012サポート

- 1.8 Anywhere

- 1.8.1 Windows Authenticatorバージョン2サポート

2 11g リリース2 (11.1.2.2)のオープンな問題

- 2.1 すべてのSuiteアプリケーションに適用可能なオープンな問題

- 2.1.1 Unicode文字がサポートされない

- 2.2 管理コンソール

- 2.2.1 無効なOPAM資格証明が使用された場合に表示される不正なエラー・メッセージ

- 2.3 Logon Manager

- 2.3.1 Logon Managerが一部のWebアプリケーションにオンザフライで応答しない場合がある

- 2.3.2 Logon Managerが一部のWebアプリケーションにまったく応答しない場合がある

- 2.3.3 Chromeのタイトル・バーでLogon Managerボタンが表示されない

- 2.3.4 PINの入力中にカードを取り除くと、Kiosk Managerセッションへのスマートカード・ログオンを完了できない

- 2.3.5 Logon Managerが、有効期限日がないOPAM保護のアカウントのチェックアウトをサポートしていない

- 2.3.6 Active DirectoryのLDAPオーセンティケータ・バージョン1サポート

- 2.3.7 mfrmlist.iniの「Process」オプションでメインフレーム・アプリケーションを検出できない

- 2.3.8 互換性のないオーセンティケータを使用してネットワーク・プロバイダをインストールできる

- 2.3.9 サイレント資格証明キャプチャが一部のWebアプリケーションの資格証明を保存しない

- 2.3.10 ファイングレイン・パスワード・ポリシーがサポートされていない

- 2.3.11 委任終了時間が午前12:00の場合に委任資格証明がインジェクトされない

- 2.4 Password Reset

- 2.4.1 Windows 7でPassword Resetクライアントがローカル・システム以外のアカウントでの実行をサポートしていない

- 2.4.2 Universal Authentication Managerをインストールした32ビットWindows 7システムにPassword Resetクライアントをインストールして自動ログオンを構成すると、ユーザーはログオンできない

- 2.4.3 Password Resetクライアント: 64ビット・エディションのWindows Server 2008 R2でリセット・クイズが機能しない

- 2.4.4 ノルウェー語でのWindows 7デプロイメントで一部のダイアログが英語で表示される

- 2.5 Provisioning Gateway

- 2.5.1 グループ・メンバーシップ経由で委任されたアカウントをチェックアウトできない

- 2.5.2 Active Directoryユーザーは、OPAM Serverの認証にフルネームを使用する必要がある

- 2.5.3 テンプレートのマッピング後、テンプレート・マッピング・リストが空白で表示される

- 2.6 Universal Authentication Manager

- 2.6.1 構成されているリーダーがない場合、BIOキー・コントロール・パネルが開かない (64ビット・システムのみ)

- 2.6.2 UAMを有効にしたマシンをWindowsドメインに追加した、またはドメインから削除した直後に再起動が必要

3 11g リリース2 (11.1.2.2)のテクニカル・ノート

- 3.1 管理コンソール

- 3.1.1 .INIファイルとしてエクスポートしたテンプレートをOracle Access Managerにインポートする場合、Unicodeエンコーディングを使用する必要がある

- 3.2 Logon Manager

- 3.2.1 新しいユーザー設定のストレージ・スキーマ(Active Directoryのみ)

- 3.2.2 古いバージョンが存在している場合、64ビットWindowsにOracle Enterprise Single Sign-On管理コンソールをインストールすると失敗する場合がある

- 3.2.3 Kiosk Managerインストールのアップグレード時に2度の起動が必要

- 3.2.4 Logon Managerで生成されたキーを使用したスマート・カードの使用

- 3.2.5 イベント・マネージャ

- 3.2.6 バックアップ/リストア

- 3.2.7 SendKeysを使用したCitrix Published Applications: 「Set Focus」機能を使用できない

- 3.2.8 Citrix Published Applications: SendKeysが[Enter]または[Tab]を適切に処理しない

- 3.2.9 「End Program」メッセージが表示される

- 3.2.10 Reflection 14でログイン画面にときどきLogon Managerパスワード変更ダイアログ・ボックスが表示される

- 3.2.11 エージェント・インストーラで報告されるWin32/Injector.CFR Trojan

- 3.3 Universal Authentication Manager

- 3.3.1 Kiosk Managerとの統合時のKiosk Manager資格証明キャッシュの無効化

- 3.3.2 RSA Authentication Client 2.0 Smart Card Middleware使用時のエラー

- 3.3.3 リモート・デスクトップ・ロックでのPKCS11カードの失敗

- 3.3.4 Crescendo C700近接型カードおよびOmnikey 5X25近接型カード・リーダー間の非互換性

- 3.4 Anywhere

- 3.4.1 Anywhereが一部のLogon Manager機能をサポートしていない

- 3.4.2 Windows 7およびWindows Server 2008/2008R2のデフォルトのセキュリティ・ポリシーでAnywhereを実行できない

- 3.4.3 Microsoft IIS 6.0デプロイメントに必要なスクリプト

はじめに

このドキュメントでは、前回リリース以降のOracle Fusion Middleware Enterprise Single Sign-On Suiteの各コンポーネントの変更および追加の内容、およびこのリリースでのオープンな問題とその回避策(適用可能な場合)について説明します。特定のデプロイメントにおける特定の動作について説明するテクニカル・ノートも含まれています。

対象読者

このドキュメントは、Oracle Fusion Middleware Enterprise Single Sign-On Suiteアプリケーションの計画、実装およびデプロイメントを担当する熟練した管理者を対象としています。

ドキュメントのアクセシビリティについて

Oracleのアクセシビリティについての詳細情報は、Oracle Accessibility ProgramのWeb サイト(http://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc)を参照してください。

Oracle Supportへのアクセス

Oracleサポート・サービスでは、My Oracle Supportを通して電子支援サービスを提供しています。詳細情報はhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=infoか、聴覚に障害のあるお客様はhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=trsを参照してください。

関連ドキュメント

詳細は、Oracle Enterprise Single Sign-On Suite 11g リリース2 (11.1.2.2)ドキュメント・セットの次のドキュメントを参照してください。

- Oracle Enterprise Single Sign-On Suiteインストレーション・ガイド

- Oracle Enterprise Single Sign-On Suite管理者ガイド

- Oracle Enterprise Single Sign-On Suiteセキュア・デプロイメント・ガイド

- Oracle Enterprise Single Sign-On Suiteユーザーズ・ガイド

- ディレクトリ・ベースのリポジトリでのLogon Managerのデプロイ

- Logon Managerアプリケーション・テンプレートの構成と診断

表記規則

このマニュアルでは次の表記規則を使用します。

規則

意味

太字

太字は、操作に関連するGraphical User Interface要素、または本文中で定義されている用語および用語集に記載されている用語を示します。

イタリック

イタリックは、ユーザーが特定の値を指定するプレースホルダ変数を示します。

固定幅フォント

固定幅フォントは、段落内のコマンド、URL、サンプル内のコード、画面に表示されるテキスト、または入力するテキストを示します。

1 Oracle Enterprise Single Sign-On Suite 11g リリース2 (11.1.2.2)

Oracle®は、バージョン11.1.2.2のOracle Enterprise Single Sign-On Suiteをリリースしました。次のリリース・ノートでは、このリリースについての重要な情報を説明します。このドキュメントの情報は、関連する製品ドキュメントの情報を補足し、差し替えられます。

1.1 インストールおよびアップグレード・ノート

現在、このスイートのコンポーネントを複数インストールしている場合、すべてのコンポーネントをこのバージョンにアップグレードする必要があります。古いバージョンのコンポーネントは、バージョン11.1.2.2で適切に動作しない場合があります。インストールを計画している場合、次の内容を検討してください。

- Logon Managerをインストールしてからその他のコンポーネントをインストールする必要があります。

- 以前のリリースのKiosk Managerがインストールされており、Logon Managerエージェントと同時に更新する場合、最初に「コントロール パネル」の「プログラムの追加と削除」または以前のソフトウェア・インストーラの「アンインストール」オプションを使用して以前のKiosk Managerをアンインストールする必要があります。

- コンポーネントにサーバーおよびクライアントの両方が含まれている場合

- サーバーおよびクライアント・バージョンを必ず同期し、両方をアップグレードします。

- 最初にサーバー・コンポーネントをアップグレードし、次にクライアント・コンポーネントをアップグレードします。

詳細は、個々のコンポーネントのドキュメントを参照してください。

1.2 Oracle Enterprise Single Sign-On Suite 11.1.2.2の新機能

Oracle Enterprise Single Sign-On Suite Plus 11.1.2.2には、多数の機能および機能強化が実装されています。この項では、これらの追加機能について説明します。これらの機能および設定の詳細は、Oracleのオンライン・ドキュメント・センターおよび各スイート・コンポーネントのオンライン・ヘルプ・システムを参照してください。

1.2.1 Javaベースのヘルプ・システム(32ビットJava Runtime Environmentが必要)

Oracle Enterprise Single Sign-On Suiteアプリケーションは、さらに強化されたJavaベースのオンライン・ヘルプ・エンジンにアップグレードされています。この変更により、Suiteアプリケーションをインストールする前に、最新の32ビット・エディションのJava Runtime Environmentをインストールする必要があります。

1.3 管理コンソール

このリリースのOracle Enterprise Single Sign-On Suite管理コンソールでは、次の機能およびファンクションが追加または改善されています。

1.3.1 アクセス・ポータル・アプリケーション・ポリシーの構成のサポート

コンソールでは、Oracle Access Portal Serviceのフォーム入力アプリケーション・ポリシーの構成がサポートされるようになりました。これらのポリシーは、Oracle Access Managerに直接インポートできます。

これらのポリシーの構成の詳細は、Oracle Enterprise Single Sign-On管理者ガイドを参照してください。

Oracle Access Portal Serviceの詳細は、『Oracle Access Manager管理者ガイド』を参照してください。

1.3.2 Oracle Privileged Account ManagerターゲットへのLogon Managerアプリケーション・テンプレートのマッピングのサポート

コンソールには、新しい「OPAM」タブを使用した、Oracle Privileged Account ManagerターゲットへのLogon Managerアプリケーション・テンプレートのマッピングのサポートが導入されています。

詳細は、Oracle Enterprise Single Sign-On管理者ガイドを参照してください。

1.4 Logon Manager

このリリースのLogon Managerでは、次の機能およびファンクションが追加または改善されています。

1.4.1 キオスク環境でのWindows Authenticator v2サポート

Logon ManagerのKiosk Managerコンポーネントは、現在Windows Authenticator v2をサポートしています。

特定の構成の手順は、Oracle Enterprise Single Sign-On Suite管理者ガイドのWindows Authenticatorバージョン2の構成に関する項を参照してください。

1.4.2 LDAPオーセンティケータv2でのセカンダリ認証サポート

LDAPオーセンティケータ・バージョン 2は、現在Windows Authenticatorバージョン2と同等のセカンダリ認証をサポートしています。リカバリは、ユーザー・パスフレーズを使用してActive Directory SIDおよびLDAPディレクトリentryUUIDをサポートしています。Logon Managerセカンダリ認証APIを利用するカスタム・セカンダリ認証ライブラリもサポートされています。

特定の構成の手順は、Oracle Enterprise Single Sign-On Suite管理者ガイドのLDAPオーセンティケータ・バージョン2の構成に関する項を参照してください。

1.4.3 LDAPオーセンティケータ・バージョン1は非推奨となりました

LDAPオーセンティケータ・バージョン1は非推奨となり、レガシーの移行のみを目的として付属しています。Oracleは、すべてのLDAPAuth v1デプロイメントをLDAPAuth v2に移行することをお薦めします。

特定の構成の手順は、Oracle Enterprise Single Sign-On Suite管理者ガイドのLDAPオーセンティケータ・バージョン2の構成に関する項を参照してください。

1.4.4 カスタマイズ可能な「Pause Logon Manager」システム・トレイ・オプション

管理者は、「Pause Logon Manager」システム・トレイ・オプションの動作をカスタマイズできます。管理者は、各ユーザーに対してオプションを有効にするかどうかを決定し、ユーザーがその機能を使用した後、機能の使用を停止するまでのタイムアウト期間を構成することができます。

詳細は、Oracle Enterprise Single Sign-On Suite管理者ガイドを参照してください。

1.4.5 資格証明委任の強化された管理権限

管理者は、各Logon Managerユーザーに対して資格証明委任を削除したり起動することができます。

詳細は、Oracle Enterprise Single Sign-On Suite管理者ガイドを参照してください。

1.5 Universal Authentication Manager

このリリースのUniversal Authentication Managerでは、次の機能およびファンクションが追加または改善されています。

1.5.1 Logon Managerにおけるプライマリ・オーセンティケータとして構成可能な個別のログオン方法

Logon Managerのプライマリ・オーセンティケータは、Universal Authentication Managerのログオン方法を個別に選択できます。管理者は、各Universal Authentication Managerログオン方法に異なる重みを個別に割り当てる段階的な認証スキームを構成することもできます。

1.5.2 Windows 7 x64サポート

Universal Authentication Managerは、64ビット・エディションのWindows 7をサポートしています。

1.5.3 Windows 7でのKiosk Managerのサポート

Kiosk Manager環境で、Universal Authentication Managerを認証方法として使用できます。

1.6 Password Reset

このリリースのPassword Resetでは、次の機能およびファンクションが追加または改善されています。

1.6.1 Windows Server 2012サポート

Password Resetは、Windows Server 2012と完全に互換性があります。

デプロイメントの手順は、Oracle Enterprise Single Sign-On Suiteインストレーション・ガイドを参照してください。

1.6.2 モバイル・ブラウザ・サポート

Password Resetは、iOSおよびAndroidデバイスのデフォルトのブラウザをサポートしています。

1.7 Provisioning Gateway

このリリースのProvisioning Gatewayでは、次の機能およびファンクションが追加または改善されています。

1.7.1 Windows Server 2012サポート

Provisioning Gatewayは、Windows Server 2012と完全に互換性があります。

デプロイメントの手順は、Oracle Enterprise Single Sign-On Suiteインストレーション・ガイドを参照してください。

1.8 Anywhere

このリリースのAnywhereでは、次の機能およびファンクションが追加または改善されています。

1.8.1 Windows Authenticatorバージョン2サポート

Anywhereデプロイメントは、今ではプライマリ・オーセンティケータとしてWindows Authenticatorバージョン2を利用することができます。

2 11g リリース2 (11.1.2.2)のオープンな問題

この項では、現在のリリースのOracle Enterprise Single Sign-On Suiteのオープンな問題およびその回避策(適用可能な場合)について説明します。

2.1 すべてのSuiteアプリケーションに適用可能なオープンな問題

この項では、このリリースのすべてのOracle Enterprise Single Sign-On Suiteアプリケーションに存在するオープンな問題について説明します。

2.1.1 Unicode文字がサポートされない

Oracle Enterprise Single Sign-On Suiteアプリケーションは現在、Unicode文字をサポートしていません。

2.2 管理コンソール

この項では、現在のリリースのOracle Enterprise Single Sign-On管理コンソールのオープンな問題について説明します。

2.2.1 無効なOPAM資格証明が使用された場合に表示される不正なエラー・メッセージ

管理コンソールでOPAM接続を構成する際に、無効なOPAM資格証明を入力すると、無効な資格証明を示すメッセージではなく、一般的な「401 - Unauthorized」エラー・メッセージが表示されます。

2.3 Logon Manager

この項では、現在のリリースのLogon Managerのオープンな問題について説明します。

2.3.1 Logon Managerが一部のWebアプリケーションにオンザフライで応答しない場合がある

Logon Managerが、複数のフォームを含むGoogle Chrome経由でアクセスされたWebページにオンザフライで応答しない場合があります。

また、Logon Managerが、Mozilla FirefoxおよびGoogle Chrome経由でアクセスされた次のWebフォームにオンザフライで応答しない場合があります。

- フィールドがFORM要素内に含まれていないWebページ

- netzero.netのパスワード変更フォーム

この問題が発生した場合、影響を受けるWebアプリケーションにLogon Managerアプリケーション・テンプレートを作成します。

2.3.2 Logon Managerが一部のWebアプリケーションにまったく応答しない場合がある

Logon Managerが、次のWebフォームにまったく応答しない場合があります。

- Google Chromeのみ: ユーザーがブラウザの「戻る」ボタンで移動した先の複数フレームのWebページ(ターゲットのページを更新すると、Logon Managerは適切に応答できるようになります)。

- Google Chromeのみ: 「Chrome へようこそ」サインイン・ページ。ユーザーは、手動で初回のサインインを完了する必要があります。

- すべてのブラウザ: papajohns.comログオン・フォーム。

現在、前述の方法以外に、これらの問題の回避策はありません。

2.3.3 Chromeのタイトル・バーでLogon Managerボタンが表示されない

Logon Managerは現在、Google Chromeブラウザのタイトル・バーにLogon Managerのタイトル・バーを表示できません。

現在、この問題の回避策はありません。

2.3.4 PINの入力中にカードを取り除くと、Kiosk Managerセッションへのスマートカード・ログオンを完了できない

PINで保護されたスマートカードを使用してKiosk Managerセッションにログオンする場合、PINプロンプトが表示されている間にスマートカードを取り除くと、ログオンに失敗します。カードがない状態でカードPINを入力すると、PINのプロンプトが繰り返し表示されるようになり、このPINプロンプトを閉じるにはログオンを取り消す必要があります。

現在、この問題の回避策はありません。

2.3.5 Logon Managerが、有効期限日がないOPAM保護のアカウントのチェックアウトをサポートしていない

Logon ManagerをOracle Privileged Account Managerと統合するように構成する場合、有効期限が設定されていないチェックアウト・アカウントはサポートされません。

現在、この問題の回避策はありません。

2.3.6 Active DirectoryのLDAPオーセンティケータ・バージョン1サポート

LDAPAuth v1オーセンティケータを構成する場合、Active Directoryは「Directory Type」ドロップダウン・メニューに表示されません。

この問題を回避するには、ドロップダウン・メニューから「LDAP-Compliant Server」を選択して、「Enable Domain Name Support」オプションを有効化します。

2.3.7 mfrmlist.iniの「Process」オプションでメインフレーム・アプリケーションを検出できない

mfrmlist.iniファイルの「Process」オプションをshared以外の値に設定すると、Logon Managerは、以前は正しく検出していたメインフレーム・アプリケーションを検出できなくなります。

Logon Managerでメインフレーム・アプリケーションを適切に検出できるようにするには、このオプションをshared以外の値に設定しないでください。

2.3.8 互換性のないオーセンティケータを使用してネットワーク・プロバイダをインストールできる

Windows Authenticatorバージョン2およびスマートカード・オーセンティケータに必要なネットワーク・プロバイダ・コンポーネントをネットワーク・プロバイダ・コンポーネントと互換性がないその他のLogon Managerオーセンティケータを使用してインストールすることができます。
これにより、ユーザーは、Logon Managerに対して認証できなくなる場合があります。

この問題を回避するには、Windows Authenticatorバージョン2 (WinAuth v2)またはスマートカード・オーセンティケータのいずれかのみを使用して、ネットワーク・プロバイダ・コンポーネントをインストールしてください。

2.3.9 サイレント資格証明キャプチャが一部のWebアプリケーションの資格証明を保存しない

資格証明をサイレントに取得する機能は、一部のWebアプリケーションの資格証明を正常に取得できない場合があります。

この問題を回避するには、Logon Managerで資格証明が正常に取得され、保存されているか必ず確認してください。

2.3.10 ファイングレイン・パスワード・ポリシーがサポートされていない

Logon Managerは現在、Windows Server 2008およびそれ以降のWindows Serverエディションで利用されているファイングレイン・パスワード・ポリシーで定義されたパスワード有効期限の検出をサポートしておらず、ドメインレベルのパスワード・ポリシーのみがサポートされています。

この問題を回避するには、パスワードの有効期限をファイングレイン・パスワード・ポリシーで定義したユーザーは、Logon Managerを使用せずにパスワードを変更する必要があります。

2.3.11 委任終了時間が午前12:00の場合に委任資格証明がインジェクトされない

資格証明の委任の終了時間が午前12:00に設定されている場合に、委任先がターゲット・アプリケーションへのアクセスを試みると、Logon Managerは委任対象の資格証明をインジェクトしません。

この問題を回避するには、委任の終了時間を午前12:00以外の値に設定します。

2.4 Password Reset

この項では、現在のリリースのPassword Resetのオープンな問題について説明します。

2.4.1 Windows 7でPassword Resetクライアントがローカル・システム以外のアカウントでの実行をサポートしていない

Windows 7では、Password Resetがローカル・システム・アカウントではなく、指定のユーザー・アカウントで実行されるように、その構成を変更することはできません。この機能はWindows XPのみで利用できます。Password Resetサーバーはこの問題の影響を受けません。

2.4.2 Universal Authentication Managerをインストールした32ビットWindows 7システムにPassword Resetクライアントをインストールして自動ログオンを構成すると、ユーザーはログオンできない

Universal Authentication Managerが動作し、自動Windowsログオンが構成されているワークステーションで、Password Resetクライアントをインストールすると、ユーザーはWindowsにログオンできなくなります。この問題は、32ビット・エディションのWindows 7のみに影響を与えます。

このようなシナリオでログオンできない場合、「セーフ・モード」でマシンを再起動して、自動ログオン機能を無効化します。

2.4.3 Password Resetクライアント: 64ビット・エディションのWindows Server 2008 R2でリセット・クイズが機能しない

Password Resetクライアントが動作する64ビット・エディションのWindows Server 2008 R2では、Windowsログオン画面からアクセスするとパスワード・リセット・クイズが機能しません。

現在、この問題の回避策はありません。

2.4.4 ノルウェー語でのWindows 7デプロイメントで一部のダイアログが英語で表示される

Windows 7では、Password Resetをノルウェー語でデプロイした場合、初期登録画面、初期パスワード・リセット画面およびWindows 7ログオン・ページの「パスワードをお忘れですか。」リンクは、ノルウェー語ではなく英語で表示されます。

現在、この問題の回避策はありません。

2.5 Provisioning Gateway

この項では、現在のリリースのProvisioning Gatewayのオープンな問題について説明します。

2.5.1 グループ・メンバーシップ経由で委任されたアカウントをチェックアウトできない

グループ・メンバーシップ経由で委任が付与された場合、その委任済アカウントをチェックアウトしようとすると、404エラーが発生します。

現在、この問題の回避策はありません。

2.5.2 Active Directoryユーザーは、OPAM Serverの認証にフルネームを使用する必要がある

Active Directoryユーザーは、OPAMサーバーの認証の際に、アカウント名(ユーザーID)の代わりにフルネームを使用する必要があります。そうしない場合は認証が失敗します。

現在、この問題の回避策はありません。

2.5.3 テンプレートのマッピング後、「Template Mapping」リストが空白に表示される

Provisioning Gatewayコンソールで、テンプレートをマッピングした後、「Template Mapping」リストが空白になる場合があります。

この問題を回避するには、テンプレートをマッピングして「Template Mapping」リストを再移入した後にページを更新します。

2.6 Universal Authentication Manager

この項では、現在のリリースのUniversal Authentication Managerに存在するオープンな問題について説明します。

2.6.1 構成されているリーダーがない場合、BIOキー・コントロール・パネルが開かない (64ビット・システムのみ)

64ビット・システムでは、指紋リーダーが構成されていないときに、ユーザーが指紋ログオン方法で登録しようとした場合、Universal Authentication Managerは、ユーザーにリーダーを構成するよう求めるプロンプトを表示しますが、プロンプトを承認してもBIO-Keyコントロール・パネルは開きません。この問題は32ビット・システムには影響しません。

この問題を回避するには、指紋ログオン方法を登録する前に、指紋リーダーが正しく構成されていることを確認します。

2.6.2 UAMを有効にしたマシンをWindowsドメインに追加した、またはドメインから削除した直後に再起動が必要

ドメインへの厳密なオーセンティケータにUniversal Authentication Managerを使用するマシンを追加または削除する場合、マシンを追加または削除した後、ただちに再起動する必要があります。再起動するまで厳密なオーセンティケータは機能しません。

3 11g リリース2 (11.1.2.2)のテクニカル・ノート

この項では、現在のリリースのOracle Enterprise Single Sign-On Suiteのテクニカル・ノートについて説明します。

3.1 管理コンソール

この項では、現在のリリースのEnterprise Single Sign-On Suite管理コンソールのテクニカル・ノートについて説明します。

3.1.1 .INIファイルとしてエクスポートしたテンプレートをOracle Access Managerにインポートする場合、Unicodeエンコーディングを使用する必要がある

アプリケーション・テンプレートまたはポリシーを、Oracle Access Managerにインポートするために.INIファイルとしてエクスポートする際、.INIファイルの保存時にUnicode(またはUnicode big endian)を選択する必要があります。それ以外のエンコーディングはOracle Access Managerではサポートしていません。

3.2 Logon Manager

この項では、現在のリリースのLogon Managerのテクニカル・ノートについて説明します。

3.2.1 新しいユーザー設定のストレージ・スキーマ(Active Directoryのみ)

バージョン11.1.2.1以上では、Microsoft Active Directoryにデプロイした場合、Logon Managerの構成ポリシーが、クラスvGOSecretのその他のユーザー構成オブジェクトと一貫性があるリポジトリの場所に保存されます。Oracle Enterprise Single Sign-On管理コンソールのActive Directoryのシンクロナイザ設定セクションにある「Use secure location for storing user settings」オプションを有効化して、この新しい設定のストレージ・スキーマに移行することを強くお薦めします。

以前のバージョンのLogon Managerからアップグレードする場合は、Logon Managerのすべてのインスタンスをリリース11.1.2.1にアップグレードした場合にのみ、このオーバーライドをデプロイする必要があり、そうしない場合、Logon Manager 11.1.2.1が一度リポジトリと同期すると、以前のすべてのバージョンはそのユーザーのリポジトリと同期できなくなります。

3.2.2 古いバージョンが存在している場合、64ビットWindowsにOracle Enterprise Single Sign-On管理コンソールをインストールすると失敗する場合がある

64ビットWindows上で、古いバージョンのOracle Enterprise Single Sign-On管理コンソールからアップグレードする場合、古いバージョンをアンインストールしてから最新バージョンをインストールしてください。そうしない場合、インストールが失敗します。

3.2.3 Kiosk Managerインストールのアップグレード時に2度の起動が必要

このバージョンのKiosk Managerに付属しているアップグレードされたキーボード・ドライバにより、インストール・プロセス中に2度再起動することを求められます(古いドライバの削除時に1回、新しいドライバのインストール時に1回)。

3.2.4 Logon Managerで生成されたキーを使用したスマート・カードの使用

(Oracle Enterprise Single Sign-Onの管理コンソールの「Global Agent Settings」→「Authentication」→「Smart Card」の)「Use default certificate for authentication」オプションに「No」を設定すると、ユーザーは、初回使用時(以降FTU)の登録プロセスでPINの入力を2回求められます。これは正常であり、Logon Managerがスマート・カードのキーセットを生成するために必要です。FTU後に続く認証で、必要なPINの入力は一度のみです。

3.2.5 イベント・マネージャ

XMLログ・ファイル・プラグインは、ログ・ファイルにデータを継続的に追加し、データは肥大してきます。ログ・ファイルをソリューションの一環として使用している場合は、(ユーザーのAppData\Passlogixフォルダから)ログ・ファイルを定期的にクリーンアップする必要があります。

3.2.6 バックアップ/リストア

バックアップ/リストア機能をシンクロナイザとともに使用すると、競合が発生する場合があります。デプロイされたソリューションで両方のメカニズムを利用し、バックアップ/リストアをスタンドアロン・インストールのみで使用することはお薦めできません。

ローカル・ドライブからバックアップをリストアする必要があります。ネットワーク・ドライブからリストアすることはできません。

3.2.7 SendKeysを使用したCitrix Published Applications: 「Set Focus」機能を使用できない

Citrix Published ApplicationsでSendKeysを使用すると、Citrixアプリケーション・ウィンドウは表示されますが、ウィンドウにコントロールが表示されないため、SendKeysの「Set Focus」機能を使用できません。「Set Focus」が機能するには、ウィンドウのコントロールを参照する必要があります。

3.2.8 Citrix Published Applications: SendKeysが[Enter]または[Tab]を適切に処理しない

各フィールド間に[Enter]または[Tab]文字が含まれた通常のSendKeysを使用してCitrix Published Applicationを設定すると、これらの文字は適切に処理されません。これらは、ランダムな順序で処理されます。

問題は、フィールド間に送信された区切り文字(通常[Enter]または[Tab]文字)がCitrixアプリケーションで正しい順序で処理されないため、動作に一貫性がなくなることです。

これを解決するには、アプリケーション・テンプレートを修正してフィールド間に遅延を追加します。たとえば、現在のアプリケーション・テンプレートを次のように構成します。

[ユーザー名] [Tab] [パスワード] [Tab] [Enter]

フィールド間に遅延を追加する必要があります。

[ユーザー名] [遅延0.1秒] [Tab] [パスワード] [遅延0.1秒] [Tab] [Enter]

3.2.9 「End Program」メッセージが表示される

マシンをログオフまたは再起動すると、NetManage NS/Eliteエミュレータにより、Logon Managerに「End Program」メッセージが表示されます。この動作は、断続的にしか発生しません。

注意:

「End Program」をクリックすると、資格証明がクリーンアップされない場合があります(「Delete Local Cache」オプションを有効化している場合)。

3.2.10 Reflection 14でログオン画面にときどきLogon Managerパスワード変更ダイアログ・ボックスが表示される

Logon Managerは、Reflection 14ログオン画面にときどき「Password Change」ダイアログ・ボックスを表示します。このダイアログ・ボックスが表示される場合、「Cancel」ボタンをクリックしてからテキストの入力を開始します。適切なログオン・ダイアログ・ボックスが表示されます。

3.2.11 エージェント・インストーラで報告されるWin32/Injector.CFR Trojan

修復操作中にアンチウィルス・ソフトウェアによってスキャンされると、一部のMSIバージョンのLogon Managerエージェント・インストーラが誤検出されます。このスキャンでWin32/Injector.CFR trojanが特定されますが、実際には、そのようなウィルスはインストーラに存在しません。

3.3 Universal Authentication Manager

この項では、現在のリリースのUniversal Authentication Managerのテクニカル・ノートについて説明します。

3.3.1 Kiosk Managerとの統合時のKiosk Manager資格証明キャッシュの無効化

このリリースでは、Kiosk Managerはデフォルトで、キャッシュされた資格証明を使用してユーザー・セッションを認証します(管理コンソールの「Use Cached Credentials」オプションはデフォルトで「Yes」に設定されるようになりました)。

Kiosk Managerに対して認証するためのログオン方法としてUniversal Authentication Managerを使用する場合は、「Use Cached Credentials」オプションを明示的に「No」に設定する必要があり、設定しない場合、Universal Authentication Managerによる認証は実行できません。

3.3.2 RSA Authentication Client 2.0 Smart Card Middleware使用時のエラー

一部のスマート・カードと一緒にRSA Authentication Client 2.0 Smart Cardミドルウェアを使用すると、ポーリング時間の競合状態および変化によって、ユーザーは、「Card is either not enrolled or not supported」というエラー・メッセージを受け取る場合があります。

このシナリオでは、2通りの処置が考えられます。

- ユーザーは、「OK」をクリックして、もう一度カードの挿入を試みます。

- 管理者は、次のレジストリ・キーを追加して、タイムアウト値を大きくすることができます。
スマート・カード・オーセンティケータのカードおよびシリアル・タイムアウト設定(PKCS11競合状態)

値: CardTimeout = DWORD (0-5000 ms; 2000 ms (default))

キー: HKLM\SOFTWARE\Passlogix\UAM\Authenticators\ {A1B34553-8D40-42A9-8ED5-F70E3497E138}\Settings

値: SerialTimeout = DWORD (0-5000 ms; 500 ms (default))

注意:

CardTimeoutは、Windowsスマート・カードAPIと競合する可能性のある特定のPKCS11モジュールに適用されます。タイムアウトを大きくすると信頼性が向上しますが、パフォーマンスに悪い影響を与える可能性があります。

SerialTimeoutは、カードからシリアル番号読み取る際に、競合状態にある特定のPKCS11モジュールに適用されます。カードはサポートされているが、そのシリアル番号を読み取れない場合、この問題が発生している可能性があります。タイムアウトを大きくすると信頼性が向上しますが、パフォーマンスに悪い影響を与える可能性があります。

3.3.3 リモート・デスクトップ・ロックでのPKCS11カードの失敗

リモート・デスクトップ・セッションのためにワークステーションがロックされている場合、ユーザーは、登録されているスマート・カードと特定のPKCS11ミドルウェアを一緒に使用してワークステーションのロックを解除することができない場合があります。これは、スマート・カード・ミドルウェアの制限によるものです。

ユーザーは、Windowsパスワードを使用すると、ワークステーションのロックを解除することができます。

3.3.4 Crescendo C700近接型カードおよびOmnikey 5X25近接型カード・リーダー間の非互換性

Crescendo C700カードは、いずれのOmnikey 5X25カード・リーダーとも近接型カードとして機能しません。

3.4 Anywhere

この項では、現在のリリースのAnywhereのテクニカル・ノートについて説明します。

3.4.1 Anywhereが一部のLogon Manager機能をサポートしていない

次のLogon Manager機能は、Anywhereでサポートされていません。

- Oracle Access Managerの統合。Oracle Access Managerに対するサイレント認証はサポートされていません。

- Mozilla FirefoxおよびGoogle Chrome。Mozilla FirefoxおよびGoogle Chromeブラウザ経由でアクセスされたWebアプリケーションの検出および応答はサポートされていません。

- Windows Authenticator v2 GINA。Windows Authenticator v2 GINAコンポーネントはサポートされていません。AnywhereはGINAのインストールをサポートしていません。

- Windows Authenticator v2ネットワーク・プロバイダ。Windows Authenticator v2ネットワーク・プロバイダ・コンポーネントはサポートされていません。AnywhereはWindowsサービスのインストールをサポートしていません。

注意:

Anywhereは、GINAおよびネットワーク・プロバイダ以外のすべてのWindows Authenticator v2機能をサポートしています。サポートされていないWindows Authenticator v2機能を有効化する回避策はありません。

3.4.2 Windows 7およびWindows Server 2008/2008R2のデフォルトのセキュリティ・ポリシーでAnywhereを実行できない

Anywhereは、Program Filesフォルダではなく、ユーザーのホーム・フォルダにインストールされるため、Windows 7およびWindows Server 2008/2008 R2デプロイメント上のデフォルトのセキュリティ・ポリシーでは、不十分な権限が原因でAnywhereを実行できません。(デフォルトでは、Program Filesフォルダはセキュアな場所として認識されますが、ユーザーのホーム・フォルダはセキュアな場所として認識されません。)

この問題を解決するには、次の手順を実行します。

1. グループ・ポリシー・オブジェクト(GPO)を変更して、設定「ユーザー アカウント制御: セキュアな場所にインストールされた UIAccess アプリケーションのみを昇格する」を無効化します。GPOでのこの設定の場所は、「コンピューターの構成\Windows の設定\セキュリティの設定\ローカル ポリシー\セキュリティ オプション\」です。

2. 標準的なグループ・ポリシー・プラクティスを使用して、変更したポリシーをドメインに適用します。

前述の設定の状態にかかわらず、アプリケーションは、実行するPKI署名チェックをパスする必要もあるため、ユーザーはまだ不正なコード・アクセスから保護されています。

このセキュリティ設定に関する詳細は、Microsoft TechNetの記事(http://technet.microsoft.com/en-us/library/dd834830.aspx)を参照してください。

3.4.3 Microsoft IIS 6.0デプロイメントに必要なスクリプト

デフォルトでは、Microsoft IIS 6.0は、Anywhereで使用される3つのファイル・タイプ(.application、.deployおよび.manifest)を提供していません。IIS 6.0 Web Serverを使用してAnywhereをデプロイすることを計画している管理者は、Oracle Enterprise Single Sign-On Suite Plusマスター・アーカイブの「Anywhere」フォルダに含まれているIisAddMimeTypes.vbsスクリプトを実行する必要があります。

このスクリプトを実行せずにAnywhereをデプロイしようとすると、エラーHTTP 404が発生します。IIS 6.0およびサポートされていないMIMEタイプの詳細は、MicrosoftのWebサイトを参照してください。

オラクル社の法律上の注意点について

コピーライトについて

Copyright © 1994-2015, Oracle and/or its affiliates.All rights reserved.

商標と登録商標について

OracleおよびJavaはOracle Corporationおよびその関連企業の登録商標です。その他の名称は、それぞれの所有者の商標または登録商標です。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXは、The Open Groupの登録商標です。

ライセンス制約の保証と結果的に生じる損害の免責

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

保証免責

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

制限付権利

このソフトウェアまたは関連ドキュメントを、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供する場合は、次の通知が適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs.No other rights are granted to the U.S. Government.

危険な用途への使用について

このソフトウェアもしくはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアもしくはハードウェアは、危険が伴うアプリケーション（人的傷害を発生させる可能性があるアプリケーションを含む）への用途を目的として開発されていません。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用する際、安全に使用するために、適切な安全装置、バックアップ、冗長性（redundancy）、その他の対策を講じることは使用者の責任となります。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

第三者のコンテンツ、製品、サービスに対する免責事項

このソフトウェアまたはハードウェア、そしてドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても一切の責任を負いかねます。

ドラフトのアルファ版およびベータ版ドキュメントについて

このドキュメントが試作版の場合:

このドキュメントは試作版であり、デモおよび暫定使用のみを目的としたものです。このソフトウェアを使用するハードウェアに限定するものではありません。オラクル社およびその関連会社は、このドキュメントに関して一切の責任を負わず、いかなる保証もいたしません。また、このドキュメントを使用したことによって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。