Oracle® Fusion Middleware

Enterprise Single Sign-On Suiteインストレーション・ガイド

11gリリース2 (11.1.2.2)

E51901-03(原本部品番号:E37691-05)

2014年6月

Oracle Fusion Middleware Enterprise Single Sign-On Suiteインストレーション・ガイド, 11gリリース2 (11.1.2.2)

E51901-03

Copyright © 1998, 2014, Oracle and/or its affiliates. All rights reserved.

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます誤りを見つけた場合は、オラクル社までご連絡ください。

このソフトウェアまたは関連ドキュメントを、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供する場合は、次の通知が適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations. As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs. No other rights are granted to the U.S. Government.

このソフトウェアもしくはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアもしくはハードウェアは、危険が伴うアプリケーション(人的傷害を発生させる可能性があるアプリケーションを含む)への用途を目的として開発されていません。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用する際、安全に使用するために、適切な安全装置、バックアップ、冗長性(redundancy)、その他の対策を講じることは使用者の責任となります。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

OracleおよびJavaはOracle Corporationおよびその関連企業の登録商標です。その他の名称は、それぞれの所有者の商標または登録商標です。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXはThe Open Groupの登録商標です。

このソフトウェアまたはハードウェア、そしてドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても一切の責任を負いかねます。

目次

タイトルおよび著作権情報

はじめに

- 対象読者

- ドキュメントのアクセシビリティについて

- 関連ドキュメント

- 表記規則

1 Oracle Enterprise Single Sign-On Suiteを
インストールする前に

- 1.1 Oracle Enterprise Single Sign-On Suiteのインストール・プロセスの概要

- 1.2 必要なサポート・ソフトウェア

- 1.3 Oracle Enterprise Single Sign-On Suiteのマスター・アーカイブの内容

- 1.4 Logon Managerフォルダの内容

- 1.4.1 Password Resetフォルダの内容

- 1.4.2 Provisioning Gatewayフォルダの内容

- 1.4.3 Universal Authentication Managerフォルダの内容

- 1.4.4 Anywhereフォルダの内容

- 1.4.5 Reportingフォルダの内容

2 Oracle Enterprise Single Sign-On Administrative Consoleのインストール

- 2.1 Consoleのインストール

3 Logon Managerのインストール

- 3.1 Logon Managerをインストールするための前提条件

- 3.1.1 Logon Managerをインストールするための前提条件

- 3.1.2 自動(サイレント)インストールのための前提条件

- 3.2 既存のLogon Managerインストールのアップグレード

- 3.3 Logon Managerクライアント側ソフトウェアのインストール

- 3.4 MSIパッケージ・コンポーネント

- 3.5 Logon Managerのインストールの完了

- 3.5.1 Mozilla Firefoxサポート・コンポーネントのインストールの完了

4 Password Resetのインストール

- 4.1 Password Resetをインストールするための前提条件

- 4.1.1 Password Resetクライアントをインストールするための前提条件

- 4.1.2 Password Resetサーバーをインストールするための前提条件

- 4.1.3 自動(サイレント)インストールのための前提条件

- 4.2 既存のPassword Resetインストールのアップグレード

- 4.3 Windows Server 2008/2008 R2でのPassword Reset用のIISの構成

- 4.4 Windows Server 2012でのPassword Reset用のIISの構成

- 4.5 Password Resetサーバー・コンポーネントのインストール

- 4.6 Password Resetサーバー側コンポーネントのインストールの完了

- 4.6.1 Password Reset認証およびPassword Resetサービスの構成

- 4.6.1.1 必要なサービス・アカウントの作成

- 4.6.1.2 Password Resetシステム・サービスへの必須サービス・アカウントの割当て

- 4.6.1.3 Password Resetサーバー構成へのSSPRWEBアカウント資格証明の追加

- 4.6.1.4 Password Reset WebサービスのIIS Webサイトのコンテンツに対するアクセスの構成

- 4.6.1.5 Password Reset WebサービスのPassword Resetレジストリ設定に対するアクセスの構成

- 4.6.2 Active Directoryにデータを格納するためのPassword Resetサーバーの構成

- 4.6.3 SSPRRESETアカウントの継承権限を必要最小限に制限

- 4.6.3.1 権限階層の計画

- 4.6.3.2 OUレベルでの制御の委任

- 4.6.4 Password Reset WebサービスのIISサイトをActive Directoryで信頼できるサイトとして構成

- 4.6.5 Password Reset Webコンソールへのアクセスの制限

- 4.6.6 SSL接続のためのPassword Resetの構成

- 4.6.6.1 Microsoft IISでのX.509証明書のインストール

- 4.6.6.2 Password Resetサーバーの構成ファイルの変更

- 4.6.6.3 WebServicesディレクトリに対するアクセス権のPassword Resetサーバーへの付与

- 4.6.6.4 Password Resetの接続をSSLのみに制限

- 4.6.6.5 新しい接続構成のテスト

- 4.7 Password Resetクライアント側ソフトウェアのインストール

- 4.8 Password Reset言語パックのインストール

- 4.8.1 別の言語のインストール後に元の言語パックに戻す方法

- 4.8.2 コマンド行での言語パックのインストール

- 4.8.2.1 ADDLOCALオプション

- 4.8.3 コマンド行によるPassword Resetクライアント側ソフトウェアのインストール

- 4.8.4 Logon ManagerなしでのPassword Resetのインストール

- 4.8.5 Password Resetクライアントのインストールの完了

- 4.8.5.1 Windows Server 2008/2012でのパスワード・リセット・クイズの有効化

- 4.8.5.2 (オプション)指定したユーザー・アカウントでのリセット・クライアントの実行

- 4.8.5.3 リダイレクション・ポップアップの無効化

- 4.8.5.4 カスタム・ウィンドウ・タイトルの指定

- 4.8.5.5 Password Resetクライアントとカスタム・リセットWebアプリケーションとの併用

5 Provisioning Gatewayのインストール

- 5.1 Provisioning Gatewayをインストールするための前提条件

- 5.1.1 自動(サイレント)インストールのための前提条件

- 5.2 Windows Server 2008/2008 R2でのProvisioning Gateway用のIISの構成

- 5.3 Windows Server 2012でのProvisioning Gateway用のIISの構成

- 5.4 既存のProvisioning Gatewayインストールのアップグレード

- 5.5 Provisioning Gatewayサーバー側コンポーネントのインストール

- 5.6 (オプション)クライアント側Provisioning Gatewayコマンド行インタフェース(CLI)のインストール

- 5.7 Provisioning Gatewayのインストールの完了

- 5.7.1 PMSERVICEアカウントへの必要な権限の付与

- 5.7.2 自動再同期化間隔の設定

- 5.7.3 ドメイン・ユーザーへのプロビジョニング権限の付与

- 5.7.4 Syslogの構成

- 5.7.5 匿名ログオンのためのユーザー・アカウントの作成または指定

- 5.7.6 IIS匿名アカウントへのAD LDS (ADAM)に対するアクセス権の付与

- 5.7.7 SSL接続のためのProvisioning Gatewayの構成

- 5.7.7.1 Microsoft IISでのX.509証明書のインストール

- 5.7.7.2 Provisioning Gatewayサーバーの構成ファイルの変更

- 5.7.7.3 Provisioning Gatewayの接続をSSLのみに制限

- 5.7.7.4 新しい接続構成のテスト

- 5.7.8 Oracle Privileged Account Managerに接続するためのProvisioning Gatewayサーバーの構成

- 5.7.9 Provisioning Gateway用のOracle Internet Directoryの構成

6 Universal Authentication Managerのインストール

- 6.1 Universal Authentication Managerをインストールするための前提条件

- 6.1.1 Universal Authentication Managerリポジトリの準備

- 6.1.2 Universal Authentication Managerのログオン方法の前提条件

- 6.1.2.1 スマート・カードを使用するための前提条件

- 6.1.2.2 近接型カードを使用するための前提条件

- 6.1.2.3 指紋リーダーを使用するための前提条件

- 6.1.3 自動(サイレント)インストールのための前提条件

- 6.2 Microsoft Active Directoryと同期するためのUniversal Authentication Managerの構成

- 6.2.1 Logon Managerがすでにデプロイされている場合のリポジトリの準備

- 6.2.2 Universal Authentication Managerサービス・アカウントの作成

- 6.2.3 スキーマの拡張

- 6.2.4 ユーザー・オブジェクトでのデータ記憶域の有効化

- 6.2.5 Universal Authentication Manager記憶域の初期化

- 6.2.6 Universal Authentication Managerリポジトリのデータ構造および権限の理解

- 6.2.7 Universal Authentication Managerシンクロナイザの構成

- 6.2.8 管理ユーザーのためのUniversal Authentication Manager同期の構成

- 6.3 Microsoft AD LDS (ADAM)と同期するためのUniversal Authentication Managerの構成

- 6.3.1 Logon Managerがすでにデプロイされている場合のリポジトリの準備

- 6.3.2 AD LDS (ADAM)インスタンスおよびパーティションの作成

- 6.3.3 AD LDS (ADAM)のデフォルトのネーミング・コンテキストの構成

- 6.3.4 Universal Authentication Managerサービス・アカウントの作成

- 6.3.5 スキーマの拡張

- 6.3.6 Peopleコンテナの作成

- 6.3.7 Universal Authentication Manager記憶域の初期化

- 6.3.8 Universal Authentication Managerリポジトリのデータ構造および権限の理解

- 6.3.9 Universal Authentication Managerシンクロナイザの構成

- 6.4 既存のUniversal Authentication Managerインストールのアップグレード

- 6.4.1 厳密なオーセンティケータを使用するLogon ManagerからUniversal Authentication Managerへの移行

- 6.5 Universal Authentication Managerクライアント側ソフトウェアのインストール

- 6.6 自動(サイレント)インストールの実行

- 6.6.1 コマンド行の構文

- 6.6.2 Universal Authentication Managerのカスタム・インストーラ・プロパティ

- 6.6.3 例

- 6.7 Universal Authentication Managerのインストールの完了

- 6.7.1 Universal Authentication Managerサービス・アカウントの構成

- 6.7.1.1 手順1: サービス・アカウントへのローカル管理者権限の付与

- 6.7.1.2 手順2: サービスの構成

- 6.7.1.3 手順3: サービスの再起動

- 6.7.1.4 Universal Authentication Managerをアンインストールした後の変更の復帰

- 6.7.2 エンタープライズ・モードのユーザーの初回ログオン

- 6.7.3 適切なGINAライブラリの選択(Windows XPのみ)

- 6.7.4 互換性のないGINAの使用からのリカバリ(Windows XPのみ)

7 Anywhereのインストール

- 7.1 Anywhereをインストールするための前提条件

- 7.1.1 Anywhereコンソールをインストールするための前提条件

- 7.2 自動(サイレント)インストールのための前提条件

- 7.3 Anywhereコンソールのインストール

8 Oracle Enterprise Single Sign-On Suiteのインストールのトラブルシューティング

- 8.1 Windows Installerエラー1720

- 8.2 Provisioning Gatewayのインストールのトラブルシューティング

- 8.2.1 Provisioning Gatewayでファイル同期がサポートされない

- 8.2.2 複数のロケータでロケータ・サイトごとにEntlistを要求される

- 8.2.3 異なるサーバーでのActive DirectoryまたはAD LDS (ADAM)およびIIS Webサービスの使用

- 8.2.4 インターネット・セキュリティ設定(WindowsドメインおよびCitrix MetaFrame®ユーザー)

- 8.2.5 複数のOracle Internet Directory (OID)サーバーを使用したProvisioning Gatewayのデプロイ

- 8.3 Password Resetのインストールのトラブルシューティング

- 8.3.1 /vGOSelfServiceReset/ManagementClientアプリケーションでのサーバー・エラー

- 8.3.2 グループ・セキュリティ・ポリシー: パスワード履歴設定の増加が必要

9 Oracle Enterprise Single Sign-On Suiteコンポーネントのアンインストール

10 付録A: Anywhereを通じたオフライン使用のためのOracle Enterprise Single Sign-On Suite製品のデプロイ

11 付録B: 一括デプロイメントのためのOracle Enterprise Single Sign-On Suiteのパッケージ化

- 11.1 パッケージ化プロセスの概要

- 11.2 カスタマイズしたエージェント・インストール・パッケージの作成

- 11.3 パイロット・デプロイメントでのカスタマイズしたパッケージのテスト

12 付録C: Oracle Enterprise Single Sign-On Suiteの構成リファレンス

- 12.1 追加のPassword Reset構成手順

- 12.1.1 Password Resetレポート・サービスのDCOM権限の変更

- 12.1.2 Password ResetのためのAD LDS (ADAM)インスタンスのインストールおよび構成

はじめに

このガイドでは、各スイート・アプリケーションのインストールのための環境の準備方法、各スイート・アプリケーションのインストール方法および必要なインストール後作業の完了方法について説明します。

対象読者

このガイドは、アプリケーションの計画、実装およびデプロイメントを担当する熟練した管理者を対象としています。管理者は、ディレクトリ環境、権限構造、ドメイン管理およびデータベースに関する正確な知識を持っている必要があります。

ドキュメントのアクセシビリティについて

Oracleのアクセシビリティについての詳細情報は、Oracle Accessibility ProgramのWeb サイト(http://www.oracle.com/pls/topic/lookup?ctx=acc&id=docacc)を参照してください。

Oracle Supportへのアクセス

Oracleサポート・サービスでは、My Oracle Supportを通して電子支援サービスを提供しています。詳細情報はhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=infoか、聴覚に障害のあるお客様はhttp://www.oracle.com/pls/topic/lookup?ctx=acc&id=trsを参照してください。

関連ドキュメント

詳細は、Oracle Enterprise Single Sign-On Suiteリリース11.1.2.2ドキュメント・セットの次のドキュメントを参照してください。

- Oracle Enterprise Single Sign-On Suiteリリース・ノート

- Oracle Enterprise Single Sign-On Suite管理者ガイド

- Oracle Enterprise Single Sign-On Suiteセキュア・デプロイメント・ガイド

- Oracle Enterprise Single Sign-On Suiteユーザーズ・ガイド

- ディレクトリ・ベースのリポジトリでのLogon Managerのデプロイ

- Logon Managerのアプリケーション・テンプレートの構成と診断

表記規則

このマニュアルでは次の表記規則を使用します。

規則

意味

太字

太字は、操作に関連するGraphical User Interface要素、または本文中で定義されている用語および用語集に記載されている用語を示します。

イタリック

イタリックは、ユーザーが特定の値を指定するプレースホルダ変数を示します。

固定幅フォント

固定幅フォントは、段落内のコマンド、URL、サンプル内のコード、画面に表示されるテキスト、または入力するテキストを示します。

1 Oracle Enterprise Single Sign-On Suiteを
インストールする前に

Oracle Enterprise Single Sign-On Suiteをインストールする前に、この項に含まれる情報をよく確認してその内容に確実に従ってください。この項の内容は次のとおりです。

1.1 Oracle Enterprise Single Sign-On Suiteのインストール・プロセスの概要

Oracle Enterprise Single Sign-On Suiteは、アプリケーションに対するアクセス権をユーザーに付与することに関連するすべてのタスクを処理します(自動サインオン、アプリケーション・パスワード変更、Windowsパスワード・リセット、キオスク・セッション管理、アプリケーション資格証明プロビジョニング、セッション内外の厳密認証など)。

Oracle Enterprise Single Sign-On Suiteは、次のコンポーネントで構成されます。

- Logon Manager - シングル・サインオン機能を提供します。

- Provisioning Gateway - リモート資格証明プロビジョニング機能を提供します。

- Password Reset - セルフサービス・パスワード・リセット機能を提供します。次のコンポーネントで構成されます。

- Password Resetクライアント - Logon Managerのインストール時に選択可能なコンポーネントとしてインストールされます。

- Password Resetサーバー・コンポーネント。

- Kiosk Manager - キオスク環境用にセッションおよびアプリケーション管理を提供します。

- Universal Authentication Manager - Windowsセッションの内外で厳密認証を提供します。

- Anywhere - エンタープライズ・ネットワークに接続されていないエンド・ユーザー・ワークステーションにカスタム構成したインストール・パッケージをデプロイする機能を提供します。

次に、スイート・インストール・プロセスの概要を示します。

注意:

このインストールがアップグレードの場合、選択したコンポーネントに対応する既存のインストールのアップグレードに関する項を参照してください。

1. 組織のビジネス要件に基づいて、インストールするOracle Enterprise Single Sign-On Suiteのコンポーネントおよびその機能を決定します。

2. 「Required Supporting Software」にリストされているサポート・ソフトウェアがターゲット・マシンにインストールされていることを確認します。アプリケーション別の要件のリストは、Oracle Enterprise Single Sign-On Suiteのリリース・ノートを参照してください。

3. 適切なインストーラ・アーカイブを取得して解凍します。その内容の詳細は、「Oracle Enterprise Single Sign-On Suiteのマスター・アーカイブの内容」を参照してください。

4. インストールすることを選択したコンポーネントごとに、このガイドのインストール手順を実行します。

5. インストール中またはインストール後作業で問題が発生した場合は、「Oracle Enterprise Single Sign-On Suiteのインストールのトラブルシューティング」を参照してください。

1.2 必要なサポート・ソフトウェア

Oracle Enterprise Single Sign-On Suiteアプリケーションをインストールして適切に動作させるには、次のサード・パーティのサポート・ソフトウェアをターゲット・マシンにインストールする必要があります(まだインストールされていない場合)。

- Windows Installer InstallScript再配布可能パッケージ。このパッケージはすべてのSuiteアプリケーション・インストーラに必要です。現在のマシンにまだこのパッケージをインストールしていない場合、パッケージをインストールする必要があります。http://consumerdocs.installshield.com/selfservice/viewContent.do?externalId=Q108322から入手できます。

- Microsoft .NET Framework 4.0フル・プロファイル版。このパッケージはLogon ManagerおよびAdministrative Consoleに必要です。現在のマシンにまだ.NET Frameworkバージョン4.0をインストールしていない場合、パッケージをインストールする必要があります。
http://www.microsoft.com/en-us/download/details.aspx?id=17718から入手できます。

- Microsoft .NET Framework 3.5 SP1このソフトウェアは
Provisioning Gatewayサーバーに必要です。http://www.microsoft.com/en-us/download/details.aspx?id=22から入手できます。

- 最新の32ビットJava Runtime Environment。Javaベースのヘルプ・システムで必要です。

1.3 Oracle Enterprise Single Sign-On Suiteのマスター・アーカイブの内容

次の項では、Oracle Enterprise Single Sign-On Suiteのマスター・アーカイブに含まれているファイルの目的について説明します。アーカイブには次のフォルダが格納されています。

- Logon Manager

- Password Reset

- Provisioning Gateway

- Universal Authentication Manager

- Anywhere

- Reporting

アーカイブ・ルートには、製品のリリース・ノートが記載されたPDFファイルのESSRN.PDFも含まれます。

1.4 Logon Managerフォルダの内容

このフォルダの内容は次のとおりです。

- ESSO Administrative Console.msi - Oracle Enterprise Single Sign-On Administrative Consoleのインストーラ。

- ESSO-LM.msi - Logon Managerの32ビット版インストーラ。

- ESSO-LMx64.msi - Logon Managerの64ビット版インストーラ。

- BIP Reports - Oracle Business Intelligence PublisherでOracle Enterprise Single Sign-On Suiteアプリケーションの使用状況レポートを生成するためのレポート・ファイル。

- Language Transforms - 特定のサポート言語でLogon Managerのインストーラを起動できるMSIインストーラ言語変換ファイル。

- Utility - 補助ソフトウェアおよびサポート対象外のLogon Managerのトラブルシューティング・ツールが含まれるフォルダ。内容は次のとおりです。

- SSOHiddenWindowResponse.exe - 非表示のウィンドウ・レスポンス・ユーティリティ。このユーティリティを使用すると、Logon Managerによって、ウィンドウのタイトルおよびクラスで非表示のアプリケーション・ウィンドウを検出できます。詳細は、オンライン・ドキュメント・センターで入手可能な非表示ウィンドウ・レスポンス・ユーティリティの使用方法というガイドを参照してください。

- ssoSCDetect.exe - SmartCard検出ツール。SmartCardオーセンティケータのログオン問題をトラブルシューティングする場合、このツールを実行して、挿入されたSmartCardをLogon Managerが認識できているかどうかを確認します。

- TraceController.exe - トレース・コントローラ・ユーティリティ。このユーティリティを使用すると、Logon Managerや他のOracle Enterprise Single Sign-On Accelerator Suiteアプリケーションでトレース・ロギングを有効化して管理できます。

- Logon Manager Event Viewer.msi - Logon Managerイベント・ビューアのインストーラ。Windowsイベント・ビューアでLogon Managerイベントを表示するために必要なメッセージング・ライブラリをインストールして登録します。

詳細は、Oracle Enterprise Single Sign-On Suite管理者ガイドを参照してください。

1.4.1 Password Resetフォルダの内容

このフォルダの内容は次のとおりです。

- ESSO-PR_Server.msi - Password Resetサーバー側ソフトウェアの32ビット版および64ビット版インストーラ。

1.4.2 Provisioning Gatewayフォルダの内容

このフォルダの内容は次のとおりです。

- ESSO-PG_ClientCLI.msi - Provisioning Gatewayコマンド行インタフェース・クライアント側ソフトウェアの32ビット版インストーラ。64ビット環境へのインストールはサポートされていないことに注意してください。

- ESSO-PG_Server.msi- Provisioning Gatewayサーバー側ソフトウェアの32ビット版および64ビット版インストーラ。

1.4.3 Universal Authentication Managerフォルダの内容

このフォルダの内容は次のとおりです。

- ESSO-UAM.msi - Universal Authentication Managerの32ビット版インストーラ。

- ESSO-UAM-64.msi - Universal Authentication Managerの64ビット版インストーラ。

- Language Transforms - 特定のサポート言語でUniversal Authentication Managerのインストーラを起動できるMSIインストーラ言語変換ファイル。

- SmartCard - サポートされるスマート・カードを有効化する.regファイルが含まれます。

- ProximityCard - サポートされる近接型カードを有効化する.regファイルが含まれます。

- Utility - コマンド行ツールおよびグラフィカル構成ツール(DeployTool.exeおよびConfigEditor.exe)、それぞれのサポート・ファイル、およびその用途を記述したドキュメントが含まれます。

1.4.4 Anywhereフォルダの内容

このフォルダの内容は次のとおりです。

- Console - AnywhereコンソールのインストーラMSIファイルが含まれます。

- Utility - 必要なMIMEタイプをMicrosoft IISに追加するVBSスクリプト・ファイルが含まれます。

1.4.5 Reportingフォルダの内容

このフォルダの内容は次のとおりです。

- MSSQL - Microsoft SQL Serverデータベース用の表設定スクリプト、ストアド・プロシージャSQLスクリプトおよび.NETストアド・プロシージャ。

- ORACLE - Oracle Database用の表設定スクリプト、ストアド・プロシージャSQLスクリプトおよびJavaストアド・プロシージャ。

2 Oracle Enterprise Single Sign-On Administrative Consoleのインストール

Windows XPにインストールする場合、Microsoft社から最新のルート証明書更新をインストールしないと、インストールに失敗します。詳細は、http://support.microsoft.com/kb/931125にあるMicrosoftナレッジ・ベースの記事を参照してください。

2.1 Consoleのインストール

Oracle Enterprise Single Sign-On Administrative Consoleをインストールして構成するには、次の手順を実行します。

1. すべてのプログラムを終了します。

2. ESSO Administrative Console.msiインストーラ・ファイルを実行します。

3. インストーラがロードされるまで待機します。

4. 「Welcome」パネルで「Next」をクリックします。

5. セットアップ・タイプを選択します。「Complete」オプションでは、すべてのプログラム機能がインストールされます。「Custom」オプションでは、インストールするプログラム機能とそのインストール場所を選択できます。カスタム・インストールを実行する場合は、手順6に進んでください。それ以外の場合は、手順7に進んでください。

6. カスタム設定を実行する場合は、次のインストール・オプションのいずれかを選択します。

- Consoleをインストールするには、「ESSO Administrative Console」をクリックして、「This feature and all of its subfeatures will be installed to the local hard drive」を選択します。

- サンプルのアプリケーション・テンプレートをインストールするには、「Templates」をクリックして、「This feature and all of its subfeatures will be installed to the local hard drive」を選択します。

- インストール先フォルダを変更するには、「Change」をクリックして目的の宛先フォルダに移動し、「OK」をクリックします。

- インストール・オプションのヘルプを確認するには、「Help」をクリックします。

選択したら、「Next」をクリックします。

7. InstallShieldウィザードでインストールを開始する準備が整いました。「Install」をクリックします。

8. インストールの完了を待機します。「Completed」画面が表示されたら、「Finish」をクリックします。

3 Logon Managerのインストール

この項では、Logon Managerをインストールするために必要な手順について説明します。内容は次のとおりです:

3.1 Logon Managerをインストールするための前提条件

Logon Managerをインストールする前に、この項にリストされている前提条件が満たされていることを確認してください。

注意:

インストールに影響する可能性のある最新の要件または変更について確認するには、最新のリリース・ノートを参照してください。

3.1.1 Logon Managerをインストールするための前提条件

64ビット(x64)・システムにLogon Managerをインストールする場合、_x64という接尾辞付きの64ビット版インストーラ・ファイルを使用する必要があります。インストーラは64ビット・プラットフォーム用にコンパイルされていますが、Logon Manager自体はWindows-on-Windows 64ビット(WoW64)のエミュレーション・エンジンを介して実行される32ビット・アプリケーションであり、"Program Files (x86)"親ディレクトリにインストールされます。32ビット・バージョンのLogon Managerは、次にリストされているサポート対象の64ビット・オペレーティング・システムと完全に互換性があります。

Logon Managerのインストールがサポートされる64ビット・プラットフォームは次のとおりです。

- Windows Server 2008

- Windows Server 2008 R2

- Windows Server 2012

- Windows XP

- Windows 7

データベースと同期する場合、またはレポート・サービスでアプリケーション・イベントをデータベースに格納する場合、Logon Managerがデータベース・インスタンスに接続できるように、適切なデータベース・クライアントをインストールする必要があります。また、Logon Managerを64ビット・システムにインストールしてOracle Databaseに接続する場合、ターゲットのエンド・ユーザー・マシンに32ビット・バージョンのOracle Databaseクライアントをインストールする必要があり、そうしない場合、レポート・サービスはOracle Databaseに接続できません。

注意:

Windows XPにインストールする場合、Microsoft社から最新のルート証明書更新をインストールしないと、インストールに失敗します。

詳細および手順については、http://support.microsoft.com/kb/931125にあるMicrosoftナレッジ・ベースの記事を参照してください。

3.1.2 自動(サイレント)インストールのための前提条件

Logon Managerを自動(サイレント)モードで正常にインストールするには、インストーラの実行前にWindows Management Instrumentation (WMI)サービスが実行されている必要があります。

WMIサービスが実行されているかどうかを確認し、必要に応じて開始するには、各ターゲット・マシンで次の手順を実行します。

1. システム管理コンソールを起動します。

2. 「サービス」スナップインを開きます。

3. 「Windows Management Instrumentation」サービスに移動して、その状態と開始モードを確認します。

状態に応じて、次のいずれかの手順を実行します。

- 状態が「開始」の場合はWMIが実行されているため、次の項に進みます。

- 状態が空白の場合、サービスの起動タイプを確認して次のように開始します。

1. サービスをダブルクリックします。

2. 表示されるプロパティ・ボックスで、環境に合わせてスタートアップの種類を「手動」または「自動」に設定し、「適用」をクリックします。

3. 「開始」をクリックします。状態が「開始」に変わります。

4. 「OK」をクリックして、サービスのプロパティ・ダイアログ・ボックスを閉じます。

3.2 既存のLogon Managerインストールのアップグレード

この項では、既存のLogon Managerインストールを最新バージョンにアップグレードするための情報を提供します。

Logon Manager 11.1.2へのアップグレードは、次のリリースのLogon Managerでサポートされます。

- 11.1.1.2.x

- 11.1.1.5.x

前述のとおり、Logon Managerの既存のインストールに対してリリース11.1.2のLogon Managerをインストールすることは完全にサポートされます。インストーラによって、以前のリリースは自動的にアンインストールされ、次に新しいリリースのインストールが実行されます。Logon Manager Administrative ConsoleとLogon Managerエージェントの両方をインストールする方法の詳細は、このガイドの各項を参照してください。

注意:

元のインストーラがLogon Manager Administrative Consoleを使用してカスタマイズされている場合、アップグレードを実行する前に同じ方法で新しいインストーラをカスタマイズする必要があり、そうしない場合、現在のLogon Managerの設定が未変更のインストーラのデフォルトで上書きされます。プライマリ・ログオン方法は、変更すると無用に複雑化するため、アップグレード時に変更しないことをお薦めします。プライマリ・ログオン方法の変更は、個別のプロジェクトとして実行する必要があります。

次に、Logon Manager 11.1.2にアップグレードする場合に推奨される基本手順を示します。

1. 既存の資格証明のバックアップを実行します。

2. 「Oracle Enterprise Single Sign-On Administrative Consoleのインストール」および「Logon Managerクライアント側ソフトウェアのインストール」の説明に従ってインストールを実行します。

3. Microsoft Active Directoryにデプロイする場合、「Global Agent Settings」→[TargetSettingsSet]→「ADEXT」の「Use secure location for storing user settings」オプションを「Yes」に設定し、この設定を管理オーバーライドとしてリポジトリに発行します。

注意:

Logon Managerのすべてのインスタンスがリリース11.1.2.0.0以上にアップグレードされた場合にのみ、このオーバーライドをデプロイする必要があり、そうしない場合、Logon Manager 11.1.2.0.0以上が一度リポジトリと同期すると、以前のすべてのバージョンはそのユーザーのリポジトリと同期できなくなります。この設定の詳細は、Oracle Enterprise Single Sign-On Suiteセキュア・デプロイメント・ガイドを参照してください。

4. 次のように、すべてのリポジトリ・オブジェクト(ポリシーやテンプレートなど)を、最新リリースのLogon Managerが使用する最新のデータ・スキーマに更新します。

1. リポジトリを最新リリースのOracle Enterprise Single Sign-On Administrative Consoleに接続します。

2. リポジトリのすべてのテンプレート、ポリシーおよびその他のデータをコンソールに取得します。

3. (オプション)必要に応じてテンプレートおよびポリシーの構成変更を行います。

4. 取得したすべてのオブジェクトをリポジトリに発行して戻します。

注意:

この手順は必須であり、エンド・ユーザーにLogon Managerをデプロイする前にテスト環境で実行する必要があります。その理由は、最新リリースのLogon Managerによってテンプレートやポリシーなどの構成オブジェクトに新しいデータ・スキーマが導入されますが、このようなスキーマは以前のリリースのLogon Managerで作成されたオブジェクトと互換性がないためです。更新されていないリポジトリとLogon Managerを同期しようとすると、データ破損が発生します。エンタープライズ全体にデプロイする前に、個別のOUをリポジトリに作成して新しい構成オブジェクトをテストすることを強くお薦めします。

5. バックアップした資格証明を新しいインストール環境にリストアします。

注意:

リリース11.1.5.1以上では、「Passphrase Suppression」は、「Global Agent Settings」→[TargetSettingsSet]→「Authentication」→「Windows v2」→「Recovery Method」で設定できます。デフォルトではパスフレーズが表示されます。パスフレーズを抑制するには、この設定を変更する必要があります。

カスタムのパスフレーズ抑制(Secondary Authentication APIを実装するDLL)を使用する場合、このDLLではそのGetID関数で一意のGUIDを返す必要があることに注意してください。また、次の設定を行う必要があります。

HKLM\Software\Passlogix\MsAuth\ResetMethods:ResetMethodGUID

このレジストリ値をそのGUIDに設定します。

詳細は、Oracle Enterprise Single Sign-On Suite管理者ガイドを参照してください。

6. インストーラが終了し、資格証明がリストアされたら、アップグレードは完了です。新しい製品機能の詳細は、Oracle Enterprise Single Sign-On Suiteのリリース・ノートを参照してください。

3.3 Logon Managerクライアント側ソフトウェアのインストール

注意:

以前のリリースのKiosk Managerがインストールされていて、このインストール中に更新する場合は、最初に「コントロール パネル」の「プログラムの追加と削除」または以前のソフトウェア・インストーラの「Uninstall」オプションを使用して以前のKiosk Managerをアンインストールする必要があります。Kiosk Managerに関するその他の考慮事項については、Oracle Enterprise Single Sign-On Suite管理者ガイドを参照してください。

Logon Managerをインストールして構成するには、次の手順を実行します。

1. すべてのプログラムを終了します。

2. 次のファイルのいずれかを実行してインストールを開始します。

- ESSO-LM.msi (32ビット版のインストール用)

- ESSO-LMx64.msi (64ビット版のインストール用)

注意:

英語以外の言語でインストールし、希望する言語でインストーラを起動する場合、次のコマンドを実行します。

msiexec /I <packagename>.msi TRANSFORMS=<language>.mst

ここで、<packagename>はLogon ManagerのインストーラMSIパッケージの名前で、<language>.mstは対応する言語変換ファイル(インストーラ・アーカイブに含まれます)の名前です。

3. 「Welcome」パネルで「Next」をクリックします。

4. セットアップ・タイプを選択します。「Typical」では、一般的に使用されるプログラム機能を簡単に選択できるパスが提供されます。「Advanced」では、インストールで使用できるすべてのプログラム機能の詳細なツリー・ビューが提供されます。「Typical」設定を選択した場合は手順6に、「Advanced」設定を選択した場合は手順7に進みます。
「Next」をクリックします。

5. 「Typical Setup」画面が表示されます。認証方法を選択し、複数のオーセンティケータを使用するかどうかを指定します。
認証方式。ユーザーを認証し、格納された資格証明に対するアクセス権を付与するため、Logon Managerには、オーセンティケータ・プラグインとして実装された複数の認証方式が用意されています(最も一般的な方式は、ユーザー名とパスワードです)。Active Directory環境のLogon Managerでは、そのWindows Logon (WinAuth) v2プラグインを通じてこの認証方式がサポートされます。

厳密な認証方式を使用する場合、Logon Managerとの連携のためにオーセンティケータ内で有効にする必要のある特定の設定が記載されているOracle Enterprise Single Sign-On Suite管理者ガイドを参照してください。これには、Logon Manager Administrative Consoleのすべての設定と、Kiosk Managerとの統合のために実行する必要のある手順も記載されています。

複数のオーセンティケータ。Authentication Manager機能によって、ユーザーを認証するための複数のログオン方法を有効にする機能が追加されます。これらのログオン方法は、Logon Managerでサポートされる標準のログオン方法(LDAPやWindows Logon v2など)または厳密なオーセンティケータ(スマート・カード、近接型デバイス、RSA SecurIDトークンなど)です。

「Next」をクリックします。

6. リポジトリを選択し、インストールする監査ログ機能を指定します。Oracle Enterprise Single Sign-On Reporting Serverをインストールする場合は、Oracle Enterprise Single Sign-On Suiteの管理者ガイドで構成情報を確認してください。「Next」をクリックして次の手順に進みます。

7. 「Advanced」設定を実行する場合、次のインストール・オプションから選択します。

Application Support

このオプションでは、アプリケーションの中核として機能するすべての必要なファイルおよび設定がインストールされ、相互作用するLogon Managerのアプリケーション・タイプを選択できます。

Web Integration

Webブラウザおよび外部Webサービスとの統合を可能にするヘルパー・オブジェクト。

Mozilla Firefox

Mozillaベースのブラウザに対するLogon Managerのサポートを追加するヘルパー・オブジェクト。

OAM Support

Oracle Access Managerで保護されたブラウザ・アプリケーションに対するLogon Managerのサポートを追加するヘルパー・オブジェクト。

Google Chrome

Google Chromeブラウザに対するLogon Managerのサポートを追加するヘルパー・オブジェクト。

Windows

Windowsデスクトップ・アプリケーションのサポート。Windowsサポート・ファイルはデフォルトでインストールされます。これらのファイルは選択解除できません。

Microsoft Internet Explorer

Internet Explorerに対するLogon Managerのサポートを追加するヘルパー・オブジェクト。デフォルトでインストールされます。

Host/Mainframe Emulators

HLLAPIベースのエミュレータに対するLogon Managerのサポートを追加するヘルパー・オブジェクト。

Console Windows

Logon Managerメインフレーム・プラグイン内でのコンソール・ウィンドウ(コマンド・プロンプト)のサポート。

PuTTY

Logon Managerメインフレーム・プラグイン内でのPuTTYウィンドウのサポート。

Java

Javaアプリケーションに対するLogon Managerのネイティブ・サポートを追加するヘルパー・オブジェクト。

SAP

Logon ManagerにSAPアプリケーションのサポートを追加するヘルパー・オブジェクト。

SoftID

SoftIDアプリケーションに対するLogon Managerのサポートを追加するヘルパー・オブジェクト。この機能の使用方法の詳細は、Oracle Enterprise Single Sign-On Suite管理者ガイドを参照してください。

このヘルパー・オブジェクトを使用するには、Authentication Managerオーセンティケータをインストールし、プライマリ・ログオン方法として選択する必要があります。

オーセンティケータ

オーセンティケータは、Logon Managerに対する異なるログオン方法を提供するプラグインです。デフォルトでは、Windows Logon v2がインストールされます。

近接型カード、読取り専用スマート・カード、RSA SecurID、セキュア・データ・ストレージまたはスマート・カードをインストールする場合は、Oracle Enterprise Single Sign-On Suite管理者ガイドを参照してください。

Windows Logon (deprecated)

WindowsへのログオンによってLogon Managerへのログオンを可能にする非推奨のプラグイン。注意:Oracleサポートから明示的に指示を受けた場合を除き、このコンポーネントはインストールしないでください。これは、レガシー専用で提供されています。

Windows Logon v2

セキュアなパスフレーズがサポートされるWindowsへのログオンによってLogon Managerへのログオンを可能にするプラグイン。このオーセンティケータは、デフォルトでインストールされます。

GINA

Windows Logon v2方式で動作するモジュール。「GINA」オプションは、Windows XPのみで使用できます。

「GINA」と「Network Provider」のいずれかを選択する必要があります。両方の方式をインストールすることはできません。

LDAP

LDAPディレクトリへのログオンによってLogon Managerへのログオンを可能にするプラグイン。

LDAP v2

LDAPディレクトリへのログオンによってLogon Managerへのログオンを可能にするプラグイン。このプラグインには、セキュアなパスフレーズのサポートも含まれます。

Network Provider

Logon Managerへのログオンにネットワーク・プロバイダ・メカニズムを使用して二重認証を排除します。現在のすべてのMicrosoft Windowsオペレーティング・システムがサポートされます。

リリース11.1.1.5.1以上では、この機能は独自のノードに移動され、Windows Logon v2のサブ機能ではなくなりました。

Proximity Card

HID近接型カードによる認証をサポートするオーセンティケータ・プラグインです。

Smart Card

MS-CAPI対応のスマート・カードを使用したLogon Managerへのログオンを可能にするプラグイン。

Smart Card (Read-Only)

読取り専用スマート・カードを使用したLogon Managerへのログオンを可能にするプラグイン。

RSA SecurID

RSA SecurIDトークンによって生成されるワンタイム・パスワードを使用したLogon Managerへのログオンを可能にするプラグイン。

Local Authentication Toolkit

RSA SecurID認証を実行するために必要なコンポーネント。

Authentication Manager

この機能によって、ユーザーを認証するための複数のログオン方法を可能にする機能が追加されます。登録、等級および順序機能を使用する場合、この機能をインストールする必要があります。

Synchronizers

このプラグインによって、アプリケーションで同期拡張機能を管理できます。

使用可能な同期プラグインは次のとおりです。

Microsoft Active Directory

Active Directoryサーバーからの資格証明と設定の取得および格納をサポートする同期プラグイン。

Microsoft AD LDS (ADAM)

AD LDS (ADAM)サーバーからの資格証明と設定の取得および格納をサポートする同期プラグイン。

LDAP

Oracle Identity ManagerなどのLDAP準拠ディレクトリからの資格証明と設定の取得および格納をサポートするプラグイン。

Database

データベースからの資格証明と設定の取得および格納をサポートする同期プラグイン。

Roaming Profile (deprecated)

ローミング・プロファイルをサポートする同期プラグイン。

Oracleサポートから明示的に指示を受けた場合を除き、このコンポーネントはインストールしないでくださいこれは、レガシー専用で提供されています。

File System

ファイル共有からの資格証明と設定の取得および格納をサポートする同期プラグイン。

Kiosk Manager

Kiosk Manager

キオスク・シナリオをサポートするために使用できるプラグイン。

Kiosk Managerを使用するには、LDAPオーセンティケータとシンクロナイザをインストールする必要があります。また、Windows Authenticator v2がインストールされていないことを確認する必要があります。

詳細は、Oracle Enterprise Single Sign-On Suite管理者ガイドを参照してください。

Session Locking Support

キオスク・シナリオをサポートするKiosk Managerセッション・ロック・コンポーネントをインストールします。このコンポーネントは、デフォルトではインストールされません。

このコンポーネントをインストールすると、Kiosk Managerエージェント(SMAgent)が自動的に起動します。

Kiosk Manager GINAをインストールしない場合、Kiosk Managerエージェント(SMAgent)は自動的に起動しませんが、イベントは他のアプリケーションからコマンド行を通じて起動できます。このシナリオを使用すると、ワークステーションにKiosk Managerをインストールして、実行したときにのみ動作させることができます。

コマンド行オプションの使用方法の詳細は、Oracle Enterprise Single Sign-On Suite管理者ガイドを参照してください。

Password Reset

Password Reset Client

ナレッジ・ベースの認証およびパスワード・リセット機能を提供するPassword Resetのクライアント側コンポーネントをインストールします。

クライアント側コンポーネントをインストールする前に、Password Resetサーバー側コンポーネントをインストールする必要があります。Password Resetは、「Typical」インストール・オプションの一部としてはインストールされません。Password Resetのインストールの詳細は、「Password Resetのインストール」を参照してください。

プロビジョニング・オプション

Provisioning Gateway Client

リモート資格証明プロビジョニング機能および資格証明委任を提供するProvisioning Gatewayクライアント側ソフトウェアをインストールします。

クライアント側ソフトウェアをインストールする前に、(「Provisioning Gatewayのインストール」の説明に従って) Provisioning Gatewayサーバー・コンポーネントをインストールする必要があります。

Credential Delegation

ユーザーが別のユーザーに一時的に1つ以上の資格証明を委任できるProvisioning Gateway資格証明委任コンポーネントをインストールします。

ターゲット・マシンにProvisioning Gatewayがインストールされており、動作している必要があります。

Privileged Accounts

ユーザーが一時的に1つ以上の資格証明をOracle Privileged Account ManagerサーバーからチェックアウトできるProvisioning Gateway特権アカウント・コンポーネントをインストールし、その資格証明に関連付けられたアプリケーションに対するシングル・サインオン機能を一時的に有効にしてから、不要になったときにその資格証明をチェックインして戻します。

ターゲット・マシンにProvisioning Gatewayがインストールされており、動作している必要があります。

Audit Logging Methods

このプラグインによって、アプリケーションでイベント・ロギングの拡張機能を管理できます。

使用可能なプラグインは次のとおりです。

ESSO Reporting Server

レポート・サービスへのイベントのロギングをサポートするイベント管理プラグイン。

Windows Event Manager

Windowsイベント・マネージャへのイベントのロギングをサポートするイベント管理プラグイン。

Syslog Server

Syslogサーバーへのイベントのロギングをサポートするイベント管理プラグイン。

XML File

ローカルXMLファイルへのイベントのロギングをサポートするイベント管理プラグイン。

Database

データベースへのイベントのロギングをサポートするイベント管理プラグイン。

Backup/Restore

このプラグインによって、ウィザード・インタフェースを介した簡単なファイル・ベースのバックアップおよびリストア・メカニズムが提供されます。

Languages

表示されている言語でのエージェントの表示を可能にするローカライズされた言語サポート・パッケージ。

注意:

宛先フォルダを変更するには、「Change」をクリックして目的のパスに移動し、「OK」をクリックします。

8. InstallShieldウィザードでインストールを開始する準備が整いました。「Install」をクリックします。

9. インストールの完了を待機します。「Completed」画面が表示されたら、「Finish」をクリックします。

10. Logon Managerのインストールでは、次のシナリオの場合を除き、再起動は必要ありません。

- Windows Authentication v2オーセンティケータをGINAとNetwork Provider (Windows XPのみ)とともにインストールした場合、「Finish」をクリックした後にワークステーションを再起動するように求められます。再起動後は手順11に進んでください。

- Kiosk Managerをインストールした場合、インストール中に選択したシンクロナイザのいずれかと同期するようにLogon Managerを構成する必要があります。手順については、Oracle Enterprise Single Sign-On Suite管理者ガイドを参照してください。また、Windows XPでKiosk Manager GINAをインストールした場合は、それ以外のGINAをインストールしないでください。同期の設定後にワークステーションを再起動して、手順11に進んでください。

11. ワークステーションまたはサーバーが再起動したら、Windowsにログオンします。Logon Managerの「Welcome」画面および「First Time Use」(FTU)ウィザードが表示されます。画面の指示に従ってFTUウィザードを完了します。FTUが完了すると、アイコンがツール・トレイに表示されます。

注意:

FTUウィザードの入力方法およびLogon Managerの使用方法の詳細は、Oracle Enterprise Single Sign-On Suiteユーザーズ・ガイドおよびオンライン・ヘルプを参照してください。

3.4 MSIパッケージ・コンポーネント

この項では、Logon Manager MSIインストーラの内容について説明します。この項にリストする機能名は、Logon Managerインストーラの「Advanced Setup」セクションに表示される名前です。

必須のコア・コンポーネントを次にリストしますが、コマンド行インストールやカスタマイズしたMSIパッケージの作成時にこれらを省略すると、インストールが正常に動作しなくなります。

- Application Support (Core)

- Provisioning Gateway Client (Provisioning

- 1つ以上のオーセンティケータ

- 1つ以上の言語パック

また、すべてのLogon ManagerデプロイメントにInternet Explorerサポート・コンポーネントを含むことをお薦めします。

さらに、次の点に注意してください。

- 機能名は大文字と小文字が区別されます。

- SSOGINA、SSOGINA.x64、SMGina、SMAgent、Locking、SSONPおよびSSONP.x64の各機能は、同時に使用できません(一度に1つのみインストールできます)。

- MSIパッケージには、この項にリストされていないクリティカル・コンポーネントが含まれており、これらはLogon Managerおよびその他のEnterprise Single Sign-On Suite機能が正しく動作するために必要なため、改ざんされていない必要があります。この項にリストされているコンポーネントのみをインストールまたは含み、アンインストールまたは削除してください。

- ADDLOCALコマンドでは、明示的に指定されているコンポーネント、およびその親コンポーネントと親コンポーネントで必要な子コンポーネントがインストールされます。インストールするコンポーネントを明示的に指定しない場合は、インストールされません。前述の必須コア・コンポーネントのいずれかを省略すると、インストールが正常に動作しなくなります。
たとえば、Chromeを指定すると、その親コンポーネントであるCore、およびCoreコンポーネントで必要なCore_Support6もインストールされますが、言語パッケージはインストールされません。

インストール・コマンドの例は次のとおりです。

msiexec /i <my.msi> ADDLOCAL="Core,Provisioning,MSauth,English_Pack, InternetExplorer"

msiexecコマンド行ツールの使用に関する追加情報は、次のURLを参照してください。

- http://support.microsoft.com/kb/230781および

- http://technet.microsoft.com/en-us/library/cc759262(v=ws.10).aspx

Application Support

タイトル(インストーラでの表示)

機能名

機能の親

追加情報

Application Support

Core

N/A

インストールが正常に動作するために必須。

Web Integration

WebIntegration

Core

Mozilla Firefox

Mozilla

WebIntegration

OAM Support

OAMSupport

WebIntegration

Google Chrome

Chrome

WebIntegration

Windows

Core_Support6

Core

Microsoft Internet Explorer

InternetExplorer

Core

推奨。

Host/Mainframe Emulators

MainframeEmulators

Core

Console Windows

DOSHelper

MainframeEmulators

PuTTY

PuttySupport

MainframeEmulators

Java

J

JavaHelper.x86

Core

32ビットOSのみ。

JavaHelper.x64

Core

64ビットOSのみ。

SAP

SAP

Core

SoftID

SoftIdHO

Core

オーセンティケータ

タイトル(インストーラでの表示)

機能名

機能の親

追加情報

オーセンティケータ

オーセンティケータ

N/A

インストールが正常に動作するためには1つ以上のオーセンティケータが必須。

Windows Logon

SLA

オーセンティケータ

Windows Logon v2

MSauth

オーセンティケータ

GINA

SSOGina

MSauth

Windows XP 32ビットのみ。

SSOGina.x64

MSauth

Windows XP 64ビットのみ。

LDAP

LDAP

オーセンティケータ

LDAP v2

LDAPauth

オーセンティケータ

Network Provider

SSONP

オーセンティケータ

32ビットOSのみ

Network Provider

SSONP.x64

オーセンティケータ

64ビットOSのみ

Proximity Card

ProxCardAuth

オーセンティケータ

Smart Card

SCAuth

オーセンティケータ

Smart Card (Read-Only)

ROSCAuth

オーセンティケータ

RSA SecurID

SecurID

オーセンティケータ

Local Authentication Toolkit (LAT)

LocalAuthToolkit

SecurID

Authentication Manager

MultiAuth

オーセンティケータ

Synchronizers

タイトル(インストーラでの表示)

機能名

機能の親

追加情報

Synchronizers

Synchronizers

N/A

Microsoft Active Directory

AD_Sync

Synchronizers

Microsoft AD LDS (ADAM)

ADAM_sync

Synchronizers

LDAP

LDAP_Sync

Synchronizers

Database

DB_Sync

Synchronizers

Roaming Profile (deprecated)

Roam_Sync

Synchronizers

File System

File_Sync

Synchronizers

Kiosk Manager

タイトル(インストーラでの表示)

機能名

機能の親

追加情報

Kiosk Manager

SMAgent_Files

N/A

Session Locking Support

SMGina

SMAgent_Files

Window XPのみ。

SMAgent_Locking

SMAgent_Files

Window 7以上

Password Reset Client

タイトル(インストーラでの表示)

機能名

機能の親

追加情報

Password Reset Client

PR_Components

N/A

Provisioning Gateway Client

タイトル(インストーラでの表示)

機能名

機能の親

追加情報

Provisioning Gateway Client

Provisioning

N/A

Credential Delegation

DelegateMgr

Provisioning

Privileged Accounts

OpamMgr

Provisioning

Audit Logging Methods

タイトル(インストーラでの表示)

機能名

機能の親

追加情報

Audit Logging Methods

EventMgr

N/A

ESSO Reporting Server

ReportingExt_Release

EventMgr

Windows Event Manager

WindowsEventExt

EventMgr

Syslog Server

SyslogEventExt

EventMgr

XML File

LocalFileExt

EventMgr

Database

DatabaseEventExt

EventMgr

Backup/Restore

タイトル(インストーラでの表示)

機能名

機能の親

追加情報

Backup/Restore

BackupMgr

N/A

Languages

タイトル(インストーラでの表示)

機能名

機能の親

追加情報

Languages

Languages

_TopLevel Feature

English

English_Pack

Languages

必須

ADDLOCALで他の言語が選択されると、自動的に選択されます。

Chinese (Simplified)

Chinese_Simplified_Pack

Languages

Traditional Chinese

Chinese_Traditional_Pack

Languages

Czech

Czech_Pack

Languages

Danish

Danish_Pack

Languages

Dutch

Dutch_Pack

Languages

Finnish

Finnish_Pack

Languages

French

French_Pack

Languages

German

German_Pack

Languages

Greek

Greek_Pack

Languages

Hungarian

Hungarian_Pack

Languages

Italian

Italian_Pack

Languages

Japanese

Japanese_Pack

Languages

Norwegian

Norwegian_Pack

Languages

Korean

Korean_Pack

Languages

Polish

Polish_Pack

Languages

Portuguese (Brazil)

Portuguese_Brazilian_Pack

Languages

Portuguese (Portugal)

Portuguese_Portugal_Pack

Languages

Romanian

Romanian_Pack

Languages

Russian

Russian_Pack

Languages

Slovak

Slovak_Pack

Languages

Spanish

Spanish_Pack

Languages

Swedish

Swedish_Pack

Languages

Thai

Thai_Pack

Languages

Turkish

Turkish_Pack

Languages

3.5 Logon Managerのインストールの完了

この項では、Logon Managerのインストールの完了に必要な手順を説明します。

3.5.1 Mozilla Firefoxサポート・コンポーネントのインストールの完了

Logon ManagerのMozilla Firefoxサポート・コンポーネントのインストールを完了するには、Logon Managerのインストール後に次の操作を実行する必要があります。

- インストール中にMozilla Firefoxが実行されていた場合、そのすべてのインスタンスを終了して再起動します。

- Mozilla Firefoxの「アドオン」パネルの「拡張機能」リストでコンポーネントが有効化されていることを確認します。

- Logon Managerを再起動します。

オンライン・ドキュメント・センターで、Oracle Enterprise Single Sign-On Suiteの製品固有ガイドの完全なセットを参照できます。次の表に、インストールおよびデプロイメントを完了するために実行する必要のある概要タスクと、各タスクに関連するドキュメントを示します。

タスク

参照先

リポジトリの構成

ディレクトリ・ベースのリポジトリでのLogon Managerのデプロイ

エージェントの構成

Oracle Enterprise Single Sign-On Suite管理者ガイド

オーセンティケータの構成

Oracle Enterprise Single Sign-On Suite管理者ガイド

アプリケーション・テンプレートの構成

Logon Managerのアプリケーション・テンプレートの構成と診断

4 Password Resetのインストール

この項では、Password Resetをインストールするために必要な手順について説明します。内容は次のとおりです:

- Password Resetをインストールするための前提条件

- 既存のPassword Resetインストールのアップグレード

- Windows Server 2008/2008 R2でのPassword Reset用のIISの構成

- Windows Server 2012でのPassword Reset用のIISの構成

- Password Resetサーバー・コンポーネントのインストール

- Password Resetサーバー側コンポーネントのインストールの完了

- Password Resetクライアント側ソフトウェアのインストール

- Password Reset言語パックのインストール

4.1 Password Resetをインストールするための前提条件

Password Resetをインストールする前に、この項にリストされている前提条件が満たされていることを確認してください。

注意:

インストールに影響する可能性のある最新の要件または変更について確認するには、最新のリリース・ノートを参照してください。

4.1.1 Password Resetクライアントをインストールするための前提条件

注意:

Windows XPにインストールする場合、Microsoft社から最新のルート証明書更新をインストールしないと、インストールに失敗します。

詳細は、次の場所にあるMicrosoftナレッジ・ベースの記事を参照してください。

http://support.microsoft.com/kb/931125

- Password Resetクライアントは動作のためにPassword Resetサーバーに依存するため、Password Resetクライアント・コンポーネントをインストールして正常に構成するには、最初にPassword Resetサーバーをインストールする必要があります。

- Password ResetクライアントおよびLogon Managerを同じWindows XPワークステーションにインストールする場合、Logon Managerの「Network Provider」ログオン方法は使用できません。

- Password ResetクライアントをWindows XPにインストールすると、ユーザーの簡易切替え機能(複数のユーザーで同時にコンピュータにログオンし、[Win]を押しながら[L]を押すことでログオン間を切り替えることができる機能)が無効になります。この機能が使用できなくなる理由は、Password Resetが使用するカスタムのGINA (Graphical Identification and Authentication)コンポーネントによって、MicrosoftのデフォルトのGINAダイナミック・リンク・ライブラリ(Msgina.dll)が置き換えられるためです。Windows XPコンピュータでログオンを変更するには、ユーザーは一度ログオフして次のユーザーでログオンする必要があります。これを行うには、タスク・マネージャ([Ctrl]+[Alt]+[Del])を起動して「Log off」をクリックします。

- Kiosk ManagerがインストールされているワークステーションでPassword Resetを使用する場合の構成情報は、Oracle Enterprise Single Sign-On Suite管理者ガイドを参照してください。

- オプションのレジストリ設定(AutomaticEnrollおよびForceEnrollment)によって、次回のログオンでPassword Resetサービスの登録をワークステーション・ユーザーに依頼または要求するかどうかを制御できます。これらの値は、インストーラ・パッケージを変更することで設定できます(クライアントのインストール・ウィザードでは追加されません)。これらの設定の場所および値は、Enterprise Single Sign-On Suite管理者ガイドを参照してください。

- Password Resetサーバーをインストールする場合、次の表にリストされているPassword Reset WebリソースのURLを書き留めておいてください(Password Resetクライアントのインストール中にこれらのURLを入力するため)。これらのリソースは、Password Resetサーバーによって提供され、クライアントに登録およびリセット機能を付与します。

Enroll URL

登録サービスのデフォルト・ページのURLを入力: http://host/vgoselfservicereset/enrollmentclient/EnrollUser.aspx

Reset URL

リセット・サービスのデフォルト・ページのURLを入力:http://host /vgoselfservicereset/resetclient/default.aspx

Check Enroll URL

登録確認サービス(ユーザーが登録されているかどうかの確認)のURLを入力:http://host/vgoselfservicereset/resetclient/checkenrollment.aspx

Check Force Enroll URL

強制登録確認サービス(ユーザーが登録を強制されるかどうかの確認)のURLを入力:http://host /vgoselfservicereset/resetclient/checkforceenrollment.aspx

Check Status URL

ステータス確認サービス(Password Resetサービスの可用性の確認)のURLを入力:http://host /vgoselfservicereset/resetclient/checkstatus.aspx

4.1.2 Password Resetサーバーをインストールするための前提条件

- Oracle Enterprise Single Sign-On Suiteリリース・ノートでハードウェアおよびソフトウェア要件をよく確認して、現在の環境がすべての要件を満たしていることを確認します。

- Oracle Enterprise Single Sign-On Administrative ConsoleおよびPassword Resetサーバー・コンポーネントは一致するバージョンを使用する必要があり、そうしない場合、予期しない動作が発生する可能性があります。

- Password Resetサーバー側コンポーネントをドメイン・コントローラにインストールしないでください。かわりにメンバー・サーバーを使用します。

- 正引きおよび逆引き検索ゾーンの正しい列挙など、DNSが適切に構成され動作していることを確認します。

- サーバーおよびワークステーションに最新のサービス・パックおよびWindows更新プログラムがインストールされていることを確認します。

- 「Windows Server 2008/2008 R2でのPassword Reset用のIISの構成」または「Windows Server 2012でのPassword Reset用のIISの構成」の説明に従って、最初にIIS Webサーバーをインストールします。

- デフォルトでは、Active DirectoryのDomain Administratorsグループのメンバーは、自動的にメンバー・サーバーのローカルのAdministratorsグループに追加されます。Domain Administratorsグループのメンバーではない場合、自身をメンバー・サーバーのローカルのAdministratorsグループに追加してください。便宜上、このガイドの説明では、「Schema Administrators」グループのメンバーである「Administrator」アカウントを使用して、Password Resetサーバーをインストールおよび設定すると仮定します。

- サービス・アカウントを作成する場合、長く複雑なパスワードを使用することを検討し、間違ったパスワードが特定の回数入力された後にそのアカウントをロックアウトするように設定してください。これらの対策によって、ハッカーによるサービス・アカウントへの辞書攻撃が成功することを防ぎます。

注意:

Microsoft社はIISサーバーをメンバー・サーバーにインストールすることを推奨しています。この問題の詳細は、Microsoft社のWebサイトを参照してください。

4.1.3 自動(サイレント)インストールのための前提条件

Password Resetを自動(サイレント)モードで正常にインストールするには、インストーラの実行前にWindows Management Instrumentation (WMI)サービスが実行されている必要があります。

WMIサービスが実行されているかどうかを確認し、必要に応じて開始するには、各ターゲット・マシンで次の手順を実行します。

1. システム管理コンソールを起動します。

2. 「サービス」スナップインを開きます。

3. 「Windows Management Instrumentation」サービスに移動して、その状態と開始モードを確認します。

状態に応じて、次のいずれかの手順を実行します。

- 状態が「開始」の場合はWMIが実行されているため、次の項に進みます。

- 状態が空白の場合、サービスの起動タイプを確認して次のように開始します。

1. サービスをダブルクリックします。

2. 表示されるプロパティ・ボックスで、環境に合わせてスタートアップの種類を「手動」または「自動」に設定し、「適用」をクリックします。

3. 「開始」をクリックします。状態が「開始」に変わります。

4. 「OK」をクリックして、サービスのプロパティ・ダイアログ・ボックスを閉じます。

4.2 既存のPassword Resetインストールのアップグレード

この項では、既存のPassword Resetインストールを最新バージョンにアップグレードするための情報を提供します。

Password Reset 11.1.2.2.0へのアップグレードは、次のリリースのPassword Resetでサポートされます。

- 11.1.1.2.x

- 11.1.1.5.x

Password Resetサーバー・インストールをアップグレードするには、次の手順を実行します。

1. HKEY_LOCAL_MACHINE\Software\Passlogix\SSPRレジストリ・キーをエクスポートして、サーバー設定をバックアップします。

2. 「Password Resetサーバー・コンポーネントのインストール」の説明に従います。インストールが完了したら、Microsoft IISを再起動して、システム内で必要なサービス・アカウントがアクティブであることと、Password Resetが引き続きそれらを使用するように構成されていることを確認する必要があります。

3. (オプション) Oracle Databaseをリポジトリとして使用するPassword Resetのインスタンスをアップグレードする場合、次の問合せを実行してPassword Reset 11.1.2に必要な新しい索引を追加する必要があります。

- CREATE INDEX SSPR.UQ_USERID ON SSPR.USERQUESTIONS (USERSID);

- CREATE INDEX SSPR.EI_USERID ON SSPR.ENROLLMENTINFORMATION (USERSID);

- CREATE INDEX SSPR.RI_USERID ON SSPR.RESETINFORMATION (USERSID);

4.3 Windows Server 2008/2008 R2でのPassword Reset用のIISの構成

Password Resetサーバーをインストールする前に、Microsoft Internet Information Servicesを次の手順でインストールする必要があります。

1. Windows Server Managerで「役割」→「役割の追加」の順に選択します。

2. 役割の追加ウィザードで、「Webサーバー(IIS)」の役割を選択します。

3. 表示されるポップアップ・ウィンドウで、追加する必要な機能を確認します。

4. 「Next」をクリックします。

5. 「役割サービス」ウィンドウで、次の役割を選択します(まだ選択していない場合)。

- アプリケーション開発: ASP .NETおよびそれに必要な機能

- HTTP基本機能: 静的なコンテンツ、既定のコンテンツ、ディレクトリの参照、HTTPエラー

- 状態と診断: HTTPログ、要求の監視

- セキュリティ: Windows認証、ダイジェスト認証、IPおよびドメインの制限、要求のフィルタリング

- パフォーマンス: 静的なコンテンツの圧縮

- 管理ツール: IIS管理コンソール、IIS管理スクリプトおよびツール、管理サービス、IIS 6管理互換(およびサブコンポーネントすべて)

6. 「Next」をクリックします。

7. 確認ウィンドウで、インストールの選択を確認します。選択を変更する場合は、「戻る」をクリックします。インストールを開始する準備ができたら、「インストール」をクリックします。
インストールが完了したら、「Password Resetサーバー・コンポーネントのインストール」に進みます。

4.4 Windows Server 2012でのPassword Reset用のIISの構成

Password Resetサーバーをインストールする前に、Microsoft Internet Information Servicesを次の手順でインストールする必要があります。

1. Windows Server Managerの右上隅にある「管理」をクリックして、表示されるメニューから「役割と機能の追加」を選択します。

2. 役割と機能の追加ウィザードで、「次へ」をクリックします。

3. 「インストールの種類の選択」画面で「役割ベースまたは機能ベースのインストール」を選択して、「次へ」をクリックします。

4. 「対象サーバーの選択」画面で「サーバー プールからサーバーを選択」オプションを選択してから、リストから対象サーバーを選択して「次へ」をクリックします。

5. 「Select server roles」画面で「Web Server (IIS)」を選択し、IISで必要な機能の追加を要求するポップアップが表示された場合は「Add Features」をクリックして、「Next」をクリックします。

6. 「Webサーバーの役割(IIS)」画面で「次へ」をクリックします。

7. 「機能」画面で「次へ」をクリックします。

8. 「役割サービス」画面で、次の役割を選択し、選択内容に関連する機能のインストールを求められた場合は受け入れます。

- HTTP基本機能: 既定のドキュメント、ディレクトリの参照、HTTPエラー、静的なコンテンツ、HTTPリダイレクション

- 状態と診断: HTTPログ、ログ ツール、要求の監視、トレース

- パフォーマンス: 静的なコンテンツの圧縮

- セキュリティ: 要求のフィルタリング、ダイジェスト認証、IPおよびドメインの制限、Windows認証

- アプリケーション開発: .NET拡張機能3.5、.NET拡張機能4.5、ASP.NET 3.5、ASP.NET 4.5、ISAPI拡張、ISAPIフィルタ

- 管理ツール: IIS管理コンソール、IIS 6管理互換(およびサブコンポーネントすべて)、IIS管理スクリプトおよびツール

9. 「Next」をクリックします。

10. 確認画面で選択内容を確認し、「インストール」をクリックして、インストールが完了するのを待ちます。
インストールが完了したら、「Password Resetサーバー・コンポーネントのインストール」に進みます。

4.5 Password Resetサーバー・コンポーネントのインストール

注意:

このインストールを開始する前に、「Windows Server 2008/2008 R2でのPassword Reset用のIISの構成」または「Windows Server 2012でのPassword Reset用のIISの構成」の手順を完了してください。

1. すべてのプログラムを終了します。

2. ESSO-PR_Server.msiインストーラ・ファイルを起動します。

3. 「Welcome」パネルで「Next」をクリックします。

4. 「Complete」または「Custom」設定タイプを選択して「Next」をクリックします。
「Custom」設定では、別のインストール・ディレクトリを指定できます。

5. 「Install」をクリックします。

6. インストールが完了したら、「Finish」をクリックします。

4.6 Password Resetサーバー側コンポーネントのインストールの完了

この項の手順を実行して、Password Resetサーバーのホスト環境を構成し、Password Resetサーバー・インストールが動作するように構成します。Password Resetサーバーの使用を開始するには、次の操作を実行する必要があります。

- Password Reset認証およびPassword Resetサービスの構成

- Active Directoryにデータを格納するためのPassword Resetサーバーの構成

- SSPRRESETアカウントの継承権限を必要最小限に制限

- Password Reset WebサービスのIISサイトをActive Directoryで信頼できるサイトとして構成

- Password Reset Webコンソールへのアクセスの制限

- SSL接続のためのPassword Resetの構成

4.6.1 Password Reset認証およびPassword Resetサービスの構成

必要なPassword Resetサービスを構成するために、この項の手順を実行します。

4.6.1.1 必要なサービス・アカウントの作成

ドメイン・コントローラに次の2つのアカウントを作成します。これらのアカウントは、Domain Usersグループ(デフォルト)の通常のユーザーである必要があります。

- SSPRWEB。このアカウントは、Password Reset IISの機能を実行し、後で作成する組織単位(OU)に対して変更や追加などを行います。OUを作成する場合は、SSPRWEBアカウントにOU内のすべてのオブジェクトに対する読取り、書込み、変更および削除権限を付与する必要があります。
Password Reset WebサービスおよびActive DirectoryまたはAD LDS (ADAM)リポジトリをホストするIISインスタンスが別のマシン上で実行されている場合、このアカウントは、Active DirectoryまたはAD LDS (ADAM)リポジトリと同じドメイン(またはその信頼できるドメイン)内に存在し、Password Reset WebサービスのIISサイトのディレクトリおよびサブディレクトリに対する読取り/書込み権限を持っている必要があります。

- SSPRRESET。このアカウントは、IISを使用するPassword Resetメンバー・サーバー上で実際のリセット・サービスを実行します。これは、ドメイン・レベルでユーザー・パスワードをリセットします。

注意:

問題の発生を避けるため、これらのアカウントはIISホストのローカルのAdministratorsグループのメンバーにしてください。

これらのアカウントは、ユーザーの質問および登録情報を格納するコンテナを管理し、実際のパスワード・リセット・プロセスを処理するためにPassword Resetが使用するサービス・アカウントになります。これらはサービス・アカウントであるため、相当に複雑なパスワードを使用し、間違った入力が一定回数行われた後にはユーザーをロックアウトするという慎重な運用が必要です。これによって、パスワードをリセットできないユーザーからヘルプ・デスクに連絡が入ることもありますが、それは何者かがこれらのサービス・アカウントに攻撃を仕掛けていることも教えてくれます。サービス・アカウントおよびセキュリティ・ログ・モニタリングのベスト・プラクティスの詳細は、Microsoft社のナレッジ・ベースを参照してください。

4.6.1.2 Password Resetシステム・サービスへの必須サービス・アカウントの割当て

サービス・アカウントをPassword Resetシステム・サービスに割り当てるには、次の手順を実行します。

1. 「コントロール パネル」→「管理ツール」→「サービス」を実行します。

2. 右側のペインのリストで、「Self Service Password Reset」を右クリックして、「プロパティ」を選択します。

3. 「Self Service Password Reset のプロパティ」ダイアログ・ボックスで、「ログオン」タブを選択します。

4. 「アカウント」を選択してDomain\SSPRRESETというアカウント名を入力します。次に、アカウントのパスワードを入力して確認(再入力)します。
変更はサービスの再起動後に適用されるという内容のダイアログ・ボックスが表示されます。

5. 指示どおりサービスを再起動します。SSPRRESETアカウントの設定が完了します。

注意:

SSPRRESETアカウントは、サーバー側コンポーネントが存在するIISサーバーでパスワード・リセット・サービスを実行します。

SSPRWEBアカウントは、サーバー側コンポーネントが存在するIISサーバーで仮想Webサイトを実行します。

4.6.1.3 Password Resetサーバー構成へのSSPRWEBアカウント資格証明の追加

Password Resetサーバーが適切に動作するためには、SSPRWEBアカウント資格証明が付与される必要があります。これを行うには、次の手順を実行します。

1. Web.configファイルに資格証明を追加します。

1. Password Resetマシンで次のファイルを見つけ、テキスト・エディタで開きます。
<PR_Install_Directory>\WebServices\Web.config

2. 次の行を探します。
<identity impersonate="true">

3. 次のように行を変更し、userNameパラメータおよびpasswordパラメータのサンプルの値をSSPRWEBアカウント資格証明に置き換えます。(値を囲む引用符は残してください。パラメータ名は大/小文字が区別されます。)
<identity impersonate="true" userName="domain\ssprweb" password="ssprweb_password" />

4. ファイルを保存して閉じます。

2. 資格証明を暗号化します。

1. Password Resetサーバー・マシンで、管理者権限でコマンド・プロンプトを起動します。

2. 次のディレクトリに移動します。
%windir%\Microsoft.NET\Framework\v4.0.30319

3. 次のコマンドを実行します。
aspnet_regiis.exe -pe "system.web/identity" -app "/vgoselfservicereset/webservices"

4. 次のコマンドを実行します。
aspnet_regiis.exe -pa "NetFrameworkConfigurationKey" "IIS APPPOOL\SSPR AppPool"

SSPRWEBアカウント資格証明は暗号化され、Password Reset Webサービスはそれらを復号化して使用し、SSPRWEBアカウントで実行できます。

手動で資格証明を復号化するには、次のコマンドを実行します。

aspnet_regiis.exe -pd "system.web/identity" -app "/vgoselfservicereset/webservices"

4.6.1.4 Password Reset WebサービスのIIS Webサイトのコンテンツに対するアクセスの構成

次のように、Password Reset WebサービスのIIS Webサイトのコンテンツに対するアクセスを(vgoSelfServiceReset仮想ディレクトリで)構成する必要があります。

パラメータ

値

Virtual Directory

EnrollmentClient

Enable Anonymous Access

NO

Integrated Windows Authentication

NO

Digest Authentication

YES

認証とアクセス制御

SSPRWEB

Virtual Directory

ManagementClient

Enable Anonymous Access

NO

Integrated Windows Authentication

YES

Digest Authentication

NO

認証とアクセス制御

SSPRWEB

Virtual Directory

ResetClient

Enable Anonymous Access

YES

Integrated Windows Authentication

YES

Digest Authentication

NO

認証とアクセス制御

SSPRWEB

Virtual Directory

WebServices

Enable Anonymous Access

NO

Integrated Windows Authentication

YES

Digest Authentication

NO

認証とアクセス制御

SSPRWEB

注意:

匿名アクセスを許可する唯一の仮想ディレクトリは、ResetClientディレクトリです。

4.6.1.5 Password Reset WebサービスのPassword Resetレジストリ設定に対するアクセスの構成

Password Resetが適切に動作するためには、Password Resetサーバー側コンポーネントを含むメンバー・サーバーの次のレジストリ・キーに対する完全な権限がSSPRWEBサービス・アカウントに必要です。

- 32ビット・システム: HKLM\SOFTWARE\Passlogix\SSPR

- 64ビット・システム: HKLM\SOFTWARE\Wow6432Node\Passlogix\SSPR

注意:

このキーに対する権限を適用したら、複数のレベルにドリルダウンして、権限が全体に伝播されていることを確認してください。

Password Resetサーバー側コンポーネントの構成中に発生する可能性のある権限の問題を回避するため、Password Resetサーバー側コンポーネントをインストールするIISメンバー・サーバーに、ローカル管理者のグループのSSPRWEBおよびSSPRRESETアカウント・メンバーを両方とも作成することをお薦めします。

Password Resetサーバー側コンポーネントのインストールおよび構成が終了したら、メンバー・サーバーのローカル管理者のグループからこれらのアカウントを削除できます。

4.6.2 Active Directoryにデータを格納するためのPassword Resetサーバーの構成

Password Resetは、ユーザーの質問、回答、構成および登録情報をActive Directoryの組織単位内に格納します。単位を簡単に識別できるような任意のOU名を選択してください。

注意:

作業を続ける前に、この組織単位をドメインのルートに作成します。記憶域を有効化するときにOUが存在しないと、サーバーにそのようなオブジェクトは存在しないというエラー・メッセージが返されることがあります。

接続用のアカウントによって、スキーマ拡張を実行します。そのため、このアカウントは、スキーマ管理者のグループのメンバーであり、Password Reset OU内にオブジェクトを作成する権限を持っている必要があります。

Active DirectoryのPassword Resetデータの記憶域を有効化するには、次の手順を実行します。

1. ESSO Suite Administrative Consoleを起動します。

2. 「Password Reset」タブを選択し、目的のPassword Resetサーバー・インスタンスの管理インタフェースURLを入力して、「Apply」をクリックします。

3. 左側のツリーで「System」ノードを選択してから、メイン・ペインで「Storage」タブを選択します。

4. 「Storage Type」ドロップダウン・メニューから、「AD」を選択します。

5. 「Servers」フィールドで「Add」をクリックして、表示されたダイアログで次の手順を実行します。

1. 目的のドメイン・コントローラの完全修飾されたホスト名またはIPアドレスを入力します。

2. 目的のドメイン・コントローラの任意のポート番号(次の表を参照)を入力します。デフォルトでは、SSLポートは636で非SSLポートは389です。

3. 「OK」をクリックして、変更内容を保存します。
新しいエントリが「Servers」リストに表示されます。

6. 「Server timeout」フィールドに、接続の試みが失敗したとみなされるまでPassword Resetが待機する必要のある秒数を指定します。

7. 「Storage Location (DN)」フィールドに、Password Reset OUへのフルパスを入力します。SSPRWEBアカウントは、このOU内に格納されているすべてのオブジェクトに対する読取り、書込み、変更および削除権限を持つ必要があります。

8. セキュアな接続のためにリポジトリがSSLを使用している場合(推奨)は、「Use SSL」チェック・ボックスを選択します。

9. 「Initialize Storage」フィールドで次の手順を実行します。

1. 「Initialize Storage for ESSO-PR」チェック・ボックスを選択します。これによってPassword ResetがActive Directoryスキーマに拡大され、必要なオブジェクトが作成されます。

2. 「Connect As (User)」フィールドに、ドメインのスキーマ管理者のアカウント名を入力します。このアカウントも、Password Reset OUにオブジェクトを作成するために必要な権限を持っている必要があります。

3. 「Password」フィールドに、アカウントのパスワードを入力します。

10. 「Submit」をクリックして、変更内容を保存します。

注意:

Password Reset OUが正しく構成されていることを確認するには、目的のドメイン・コントローラで「Advanced」ビューを使用して、「Active Directory Users and Computers」の新しいインスタンスを開きます。ESSOPR (または選択した名前)というOUと、SystemQuestionsおよびUsersという2つの下位OUを確認します。これら2つの下位OUが存在する場合、正しく構成されています。

これで、Password Resetサーバー側コンポーネントをインストールしたIISメンバー・サーバーのローカル管理者のグループからSSPRWEBおよびSSPRRESETのアカウントを両方とも削除できます。

4.6.3 SSPRRESETアカウントの継承権限を必要最小限に制限

SSPRRESETアカウントには、ユーザー・パスワードをリセットし、このアカウントを使用して各アカウントのロックを解除できる以上の権限を付与することはできません。

SSPRRESETアカウントは、ドメイン・ユーザー・グループの単なるメンバーであることに注意してください。Active Directoryに組み込まれたフェイルセーフとして、このアカウントを使用してより上位の権限を持つユーザー(管理者アカウントなど)のパスワードを変更することはできません。

この権限は、組織単位レベルまたはグループ・レベルで割り当てることができます。ユーザー・レベルでこの権限を割り当てることは、一般的な操作ではなく、推奨されません。

4.6.3.1 権限階層の計画

パスワード・リセット権限の割当ては、慎重に検討して、目的のアカウントのみがこの権限を付与されるように計画する必要があります。これらのアカウントの設定時に戦略を調整するために役立つ操作および注意点は次のとおりです。

- 組織単位または特定のグループに基づいて、パスワード・リセット・アカウントに粒度の高い権限を付与することを検討します。いずれかに権限を適用したら、目的の結果が得られることをテストして確認します。

- ドメインのルートでオブジェクト制御の委任ウィザードを実行しないでください(実行すると、ユーザーを超えてコンピュータやプリンタなどのオブジェクトにまで及ぶ権限をパスワード・リセット・アカウントに付与することになります)。

- パスワード・リセット・アカウントはドメイン・ユーザー・グループのメンバーであるため、そのパスワード・リセット権限は、ドメイン・ユーザー・グループの同じレベルのすべてのメンバーに適用されます。

つまり、すべてのユーザーをADのデフォルト・ユーザー・コンテナに格納し、そのレベルでオブジェクト制御の委任ウィザードを実行する場合、ドメイン・ユーザー・アカウントは、管理者アカウントのパスワードをリセットできません。Active Directoryでは、ユーザーが管理者に対する管理権限を持つことは許可されません。

このシナリオでは、パスワード・リセット・サービス・アカウントには、管理者のパスワードをリセットする権限は付与されません。管理者は、Password Resetに登録し、パスワード・リセット・ダイアログ全体を使用できます。ただし、パスワード・リセット・サービス・アカウントは、上位のセキュリティ・グループに含まれるユーザーのパスワードをリセットする権限を持つように設計されていないため、パスワードをリセットしようとすると、エラー・メッセージが返されます。

ドメイン管理者グループのメンバーのパスワードを、通常のユーザー・アカウントによってリセットできるようにするかどうかは、慎重に検討してください。パスワード・リセット・アカウントにこのレベルの制御を付与することは可能ですが、そうしない方が適切なこともあります。

4.6.3.2 OUレベルでの制御の委任

ユーザーが次の方法で分割されるActive DirectoryのOU構造について検討します。

- OU = Users1

- OU = Users2

- OU = Users (Active Directoryで作成されるデフォルトのユーザー・コンテナ)

ユーザーを組織単位に割り当てると、多くのユーザーのSSPRRESETサービス・アカウントの権限を単純で統一化された方法で管理できます。

1. 「スタート」→「管理ツール」→「Active Directoryユーザーとコンピュータ」の順に移動します。

2. まだ有効にされていない場合は、「表示」メニューで「詳細機能」オプションを有効化します。

3. 「Active Directoryユーザーとコンピュータ」→「YourDomain」→「YourOU」の順にナビゲートします。

4. 制御するOUを右クリックして、「プロパティ」を選択します。

5. 「プロパティ」ウィンドウで、「セキュリティ」タブを選択して「詳細設定」をクリックします。

6. 表示されるウィンドウで、「Add」をクリックします。

7. 「選択するオブジェクト名を入力してください」フィールドに、SSPRRESETアカウントの名前を入力します。(「名前の確認」ボタンを使用して、入力した名前を確認します。)

8. 「OK」をクリックします。

9. 「アクセス許可エントリ」ウィンドウの「オブジェクト」タブで、「適用先」ドロップダウン・メニューから「ユーザー オブジェクト」を選択します。

10. 「アクセス許可」ウィンドウで、「許可」列の「パスワードのリセット」ボックスを選択します。

11. 「アクセス許可エントリ」ウィンドウで、「プロパティ」タブを選択します。

12. 「適用先」ドロップダウン・メニューから「ユーザー オブジェクト」を選択します。

13. 「アクセス許可」ウィンドウで、「Write lockoutTime」権限および「Write pwdLastSet」権限の「許可」ボックスを選択します。

14. 「OK」をクリックします。

15. 「OK」をさらに2回クリックしてウィンドウを閉じます。変更は即座に有効になります。

権限が正しく割り当てられたことを確認するには、次の手順を実行します。

1. 新しい権限を割り当てたOUを右クリックします。

2. 「プロパティ」を選択します。

3. 「セキュリティ」タブを選択します。
特殊なアクセス許可を持つSSPRRESETアカウントがリストされているはずです。「詳細設定」タブには、このアカウントがOUに対するパスワード・リセット権限を持っていることが示されます。

4.6.4 Password Reset WebサービスのIISサイトをActive Directoryで信頼できるサイトとして構成

Password Reset内には、匿名アクセスは許可されないが、統合Windows認証を使用するように構成される2つの仮想ディレクトリがあります(Windowsパスワードでドメインにログオンすると、そのページにアクセスできます)。

Windows Server 2008上で稼働するIISのセキュリティ・ポリシーのため、ユーザーが最初に登録しようとすると、ユーザー名とパスワードを要求するポップアップ画面が表示されます(同様の設定のWebサイトではよくあることです)。この動作(これは不要なヘルプ・デスク・コールにつながります)を回避するには、Password Reset IISサーバーの完全修飾ドメイン名を、ドメインの任意のユーザー向けとなる信頼できるサイトのリストに入力します。

Password Resetサーバーを信頼できるイントラネット・サイトとして指定するには、次の手順を実行します。

- 個々のコンピュータで、信頼できるイントラネット・サイトのリストにPassword Reset IISサーバーのデフォルトWebサイトを追加します。

- Active Directory内で、信頼できるイントラネット・サイトのリストに、グループ・ポリシーを使用してこのサイトを追加します。

これを行うには、次のものが必要です。

- ドメイン管理者の権限

- OUまたはドメイン・レベルでグループ・ポリシーを作成または変更する権限

次の例では、Password Resetサーバー・サイトをドメイン全体の信頼できるイントラネット・サイトとして指定します。したがって、これはすべてのドメイン・ユーザーにとって信頼できるサイトになります。

注意:

より粒度の高いアクセス制御のために、Password Resetの潜在的なユーザーを含むOUごとにこのポリシーを作成することもできます。選択したアプローチにかかわらず、最終結果では、信頼できるサイトとしてPassword Reset IISサーバーのデフォルトWebサイトが含まれます。

組織の信頼できるサイトのリストにPassword Reset IISサーバーを追加するには、最初にInternet Explorerセキュリティ強化の構成がインストールされていないWindowsクライアントでポリシーを作成する必要があります(デフォルトでは、Windows XPにはこの機能はインストールされていません)。

1. 「Internet Explorer セキュリティ強化の構成」設定を削除します(「コントロール パネル」→「プログラムの追加と削除」→「Windows コンポーネントの追加と削除」)。

2. 「Internet Explorerセキュリティ強化の構成」の選択を解除(削除)します。

注意:

このポリシーの作成後に、このセキュリティ強化機能をドメイン・コントローラにインストールできます。グループ・ポリシー・オブジェクト・エディタ内で現在のゾーンをインポートしようとすると表示されるダイアログ・ボックスの内容を確認してください。

このポリシーを作成するには、「Active Directoryユーザーとコンピュータ」を開き、Password Resetに登録するユーザーを含む組織単位を右クリックして(この例ではドメインのルート・レベルに存在)、「グループ ポリシー」タブをクリックします。

3. 「新規」をクリックして、新しいポリシーを作成します。ポリシーにSSPR TRUSTED INTRANET SERVERという名前を付けます。

4. 「編集」をクリックします。

5. 左側のツリーで、「ユーザーの構成」→「Windows の設定」→「Internet Explorer のメンテナンス」→「セキュリティ」→「セキュリティ ゾーンおよびコンテンツの規制」の順にナビゲートします。

6. 「設定の変更」をクリックします。

7. 表示されるメッセージを確認して続行します。

8. 「インターネットのプロパティ」ダイアログ・ボックスで、「ローカル イントラネット ゾーン」アイコンをクリックしてから「サイト」ボタンをクリックします。

9. 「ローカル イントラネット」ダイアログ・ボックスで、「詳細設定」をクリックします。

10. 指定されている場所に、Password Reset IISのデフォルトWebサイトの完全修飾ドメイン名を入力します。

11. 「閉じる」をクリックします。

12. 必要に応じて「OK」および「適用」をクリックして、グループ・ポリシー・オブジェクト・エディタを終了します。

ネットワーク内のレプリケーション速度によっては、Active Directory構造全体にこのポリシーをレプリケートするために多少時間がかかる可能性があります。

このポリシーがADの目的のレベルに適用されたことを確認するには、次の手順を実行します。

1. このポリシーの影響を受けるユーザーとしてログインします(ADグループ・ポリシーにはレプリケーションのための十分な時間を与えます)。

2. Internet Explorerで、「ツール」→「インターネット オプション」→「セキュリティ」→「ローカル イントラネット」→「サイト」→「詳細設定」の順に開きます。
追加したサイトがInternet Explorerの「信頼済みサイト」ウィンドウにリストされているはずです。

4.6.5 Password Reset Webコンソールへのアクセスの制限

権限のないユーザーがWebベースのPassword Reset管理コンソールにアクセスできないようにするには、次の手順を実行します。

1. Windowsエクスプローラを起動して次の場所に移動します。

- 32ビット・システム: C:\Program Files\Passlogix\v-GO SSPR

- 64ビット・システム: C:\Program Files (x86)\Passlogix\v-GO SSPR

2. 「Management Client」を右クリックし、ショートカット・メニューから「Properties」を選択します。

3. 「Properties」ダイアログ・ボックスで、「Security」タブをクリックします。

4. 「詳細設定」をクリックします。

5. 「Change Permissions」をクリックします。

6. 「Include inheritable permissions from this object's parent」チェック・ボックスを選択解除します。

7. 表示される警告ダイアログ・ボックスで、「Add」をクリックします。

8. 「OK」をクリックします。

9. 「Security」タブで、「Users」グループ(デフォルト継承の一部)およびその他の認可されていないユーザーを削除します。

10. 「追加」をクリックします。

11. 「Advanced Search」をクリックし、「IIS_IUSRS」グループを選択します。

12. 「OK」をクリックします。

注意:

「Full」以外のすべての権限が「Allow」列で選択される必要があります。また、コンソールへのアクセス権を付与されるユーザーを含むドメイン・グループをセキュリティACLに追加する必要もあります。

4.6.6 SSL接続のためのPassword Resetの構成

Windows Server 2008/2008 R2またはWindows Server 2012とのSSL接続のためにPassword Resetを構成する前に、信頼できる認証局(CA)からX.509証明書を取得する必要があります。この信頼できるCAを、信頼できるルートCAのリストにインストールする必要があります。証明書は、現在の日付において有効である必要があり、そのサブジェクトは、Password Resetクライアント・インスタンスがPassword Resetサーバー・インスタンスへの接続時に使用するネットワーク名(ホスト名またはホスト名とドメイン接尾辞を含む完全修飾URL)と正確に一致している必要があります。この項の手順では、有効な証明書を取得済で、インストールの準備が完了していると仮定します。

注意:

Microsoft Webサイトの次の記事で、証明書のインストールとSSLの設定に関する情報を参照できます。

· "How to: Obtain an X.509 Certificate" http://msdn2.microsoft.com/en-us/library/ms819929.aspx

· "How to: Set Up SSL on a Web Server" http://msdn2.microsoft.com/en-us/library/aa302411.aspx

Microsoft証明書サービスを使用してX.509証明書を取得する場合、サーバー認証証明書を選択してください。また、「キーのオプション」セクションで、「エクスポート可能なキーとしてマークする」および「ローカル コンピュータ ストアを使用する」オプションを選択します。

Password ResetサーバーへのSSL専用接続を実行するために必要な手順は、次のとおりです。

1. Microsoft IISでのX.509証明書のインストール

2. Password Resetサーバーの構成ファイルの変更

3. WebServicesディレクトリに対するアクセス権のPassword Resetサーバーへの付与

4. Password Resetの接続をSSLのみに制限

5. 新しい接続構成のテスト

4.6.6.1 Microsoft IISでのX.509証明書のインストール

1. Microsoft IISマネージャを起動します。

2. 左側の「接続」ペインで、ターゲット・サーバー・インスタンスを選択します。

3. 中央の「ホーム」ペインで、「サーバー証明書」アイコンをダブルクリックします。

4. 右側の「操作」ペインで、「証明書の要求の完了」をクリックします。

5. 表示される「証明書の要求を完了する」ダイアログで、次の手順を実行します。

1. 「証明機関の応答が含まれるファイルの名前」フィールドで、対象のX.509証明書のフルパスおよびファイル名を参照するか入力します。

2. 「フレンドリ名」フィールドに、証明書のわかりやすい名前を入力します。

3. 「OK」をクリックします。

証明書がターゲット・マシンの「サーバー証明書」リストに表示されます。

6. インストールした証明書を、選択したサイトのhttpsプロトコルにバインドします。左側の「接続」ペインで、ターゲット・マシンのノードを展開してドリルダウンし、「Default Web Site」ノードを選択します。

7. 右側の「操作」ペインの「サイトの編集」セクションで、「バインド」をクリックします。

8. 表示される「サイト バインド」ダイアログで、「追加」をクリックします。

9. 表示される「サイト バインドの追加」ダイアログで、次の手順を実行します。

1. 「種類」ドロップダウン・リストから、「https」を選択します。

2. 「証明書」ドロップダウン・リストから、この手順で前にインストールした証明書を選択します。

3. 残りの設定はデフォルトのままにします。

4. 「OK」をクリックして「サイト バインドの追加」ダイアログを閉じます。

10. 「閉じる」をクリックして「サイト バインド」ダイアログを閉じます。

4.6.6.2 Password Resetサーバーの構成ファイルの変更

Password Reset Webページを呼び出す場合にHTTP-over-SSL (HTTPS)プロトコルを使用するように、次の構成ファイルを更新する必要があります。

- %PROGRAMFILES%\Passlogix\v-GO SSPR\EnrollmentClient\web.config

- %PROGRAMFILES%\Passlogix\v-GO SSPR\ManagementClient\web.config

- %PROGRAMFILES%\Passlogix\v-GO SSPR\ResetClient\web.config

\EnrollmentClient\web.configファイルを次の手順で変更します。

1. <appSettings>セクションを見つけます。

2. EnrollSvc.enrollmentキー値を次の手順で変更します。

1. httpをhttpsに変更します。

2. localhostを、X.509証明書のIssued Toの値に置き換えます。(この値は、この手順の前の部分で記録しました。)

3. (オプション)カスタム・ポートを使用してこのサービスに接続する場合、ホスト名の末尾にセミコロンで区切ったポート番号を追加します。
例: https://sssolabmem.ssolab.com:1880。

3. ファイルを保存して閉じます。

\ManagementClient\web.configファイルを次の手順で変更します。

1. <appSettings>セクションを見つけます。

2. AdminSvc.administrationキー値を次の手順で変更します。

1. httpをhttpsに変更します。

2. localhostを、X.509証明書のIssued Toの値に置き換えます。(この値は、この手順の前の部分で記録しました。)

3. (オプション)カスタム・ポートを使用してこのサービスに接続する場合、ホスト名の末尾にセミコロンで区切ったポート番号を追加します。
例: https://sssolabmem.ssolab.com:1880。

3. ファイルを保存して閉じます。

\ResetClient\web.configファイルを次の手順で変更します。

1. <appSettings>セクションを見つけます。

2. ResetSvc.PasswordResetキー値を次の手順で変更します。

1. httpをhttpsに変更します。

2. localhostを、X.509証明書のIssued Toの値に置き換えます。(この値は、この手順の前の部分で記録しました。)

3. (オプション)カスタム・ポートを使用してこのサービスに接続する場合、ホスト名の末尾にセミコロンで区切ったポート番号を追加します。
例: https://sssolabmem.ssolab.com:1880。

3. ファイルを保存して閉じます。

4.6.6.3 WebServicesディレクトリに対するアクセス権のPassword Resetサーバーへの付与

1. Microsoft IISマネージャを起動します(まだ起動していない場合)。

2. 左側の「接続」ペインで、ターゲット・マシンのノードを展開してドリルダウンし、「サイト」→「Default Web Site」→「WebServices」ノードの順に選択します。

3. 中央の「Default Web Site ホーム」ペインで、「IP アドレスおよびドメインの制限」アイコンをダブルクリックします。

4. 右側の「操作」ペインで、「許可エントリの追加」をクリックします。

5. 表示される「許可の制限規則の追加」ダイアログで、次の手順を実行します。

1. 「特定の IP アドレス」ラジオ・ボタンを選択します。

2. ターゲット・マシンのIPv4またはIPv6アドレスを入力します。

3. 「OK」をクリックして変更内容を保存し、ダイアログを閉じます。

4.6.6.4 Password Resetの接続をSSLのみに制限

1. Microsoft IISマネージャを起動します(まだ起動していない場合)。

2. 左側の「接続」ペインで、ターゲット・マシンのノードを選択します。

3. ターゲット・マシンのノードをドリルダウンして、「サイト」→「Default Web Site」ノードを選択します。

4. 中央の「Default Web Site ホーム」ペインで、「SSL 設定」アイコンをダブルクリックします。

5. 中央ペインの「SSL 設定」画面で、「SSL が必要」チェック・ボックスを選択し、「クライアント証明書」オプションはデフォルト値のままにします。

6. 右側の「操作」ペインで、「適用」をクリックして、変更内容を保存します。

4.6.6.5 新しい接続構成のテスト

Password Resetサーバー・マシン上のWebブラウザを直接使用して(このテストはリモート・マシンから実行しないでください)、新しいSSL対応のURLを使用して各Password Resetインタフェース・サービスにアクセスします(httpのかわりにhttpsプロトコル・ヘッダーを使用します)。URLは次のとおりです。

- EnrollmentClient: https://<new_host_name>:<new_port>/vGOSelfServiceReset/ WebServices/Enrollment.asmx

- ManagementClient: https://<new_host_name>:<new_port>/vGOSelfServiceReset/ WebServices/Administration.asmx

- ResetClient: https://<new_host_name>:<new_port>/vGOSelfServiceReset/ WebServices/PasswordReset.asmx

いずれかのURLのロードに失敗した場合、または証明書エラーが表示された場合、仮想ディレクトリの権限や証明書のオプションなどの構成を確認し、必要に応じて修正してから再試行してください。

4.7 Password Resetクライアント側ソフトウェアのインストール

注意:

Password Resetクライアントのインストーラは、次の機能を提供します。

- Windowsインタフェースを介してPassword Resetを実行するために必要なコンポーネントを提供します。

- Password Resetクライアントに登録およびリセット・サービスを指示するレジストリ値を設定します。

- ワークステーション・ユーザーにPassword Resetサービスへの登録を提案または強制します(そのように構成されている場合)。

Password Resetクライアント側ソフトウェアをインストールして構成するには、「Password Resetサーバー・コンポーネントのインストール」の説明に従ってPassword Resetサーバーの正常に動作するインストール環境が作成されていることを確認してください。

注意:

Password Resetクライアントの自動(サイレント)インストールを実行するには、「コマンド行によるPassword Resetクライアント側ソフトウェアのインストール」を参照してください。

次に、「Logon Managerクライアント側ソフトウェアのインストール」の手順に従い、インストーラから求められたら次の手順を実行します。

1. 「Typical」と「Advanced」インストールの選択を求められたら、「Advanced」を選択します。

2. 「Advanced Setup」画面で、「Password Reset Client」をクリックし、「This feature, and all subfeatures, will be installed on local hard drive」を選択します。必要に応じて他のインストール・オプションを選択し、「Next」をクリックします。

3. 「Setup Configuration Information」画面で、Password ResetサーバーのURLを入力します。終了したら「Next」をクリックします。

4. インストール・プロセスを、インストーラの指示および「Logon Managerクライアント側ソフトウェアのインストール」の説明に従って続行します。

4.8 Password Reset言語パックのインストール

初期インストール後に追加の言語パックをインストールするには、次の手順を実行します。

1. Windowsのコントロール・パネルで、「プログラムの追加と削除」を起動します。

2. 「Logon Manager」を選択して、「変更」ボタンをクリックします。

3. インストール・ウィザード内を移動して、「変更」ボタンをクリックします。

4. インストールする追加の言語パックを選択します。

5. 指示に従って再起動し、「プログラムの追加と削除」を再起動して追加の言語インストールを完了します。

4.8.1 別の言語のインストール後に元の言語パックに戻す方法

別の言語のインストール後に元の言語パックに戻すには、次の手順を実行します。

1. 「プログラムの追加と削除」を起動し、Logon Managerのインストールを変更して適切な言語パックを設定します。

2. インストールが終了したら指示に従って再起動します。

3. インストールを修復します。

注意:

インストールは、変更の後に修復する必要があります。そのようにしないと、「GINA」ボタンが正常に動作しなくなります。

4.8.2 コマンド行での言語パックのインストール

様々な言語パックをインストールするには、次に示すコマンド行スイッチを使用してPassword Resetをインストールする必要があり、そうしない場合、ローカライズされたオペレーティング・システムにGINAスタブが表示されません。目的の言語パックをインストールするには、ADDLOCALスイッチに続く文字列に言語名を追加します。

次に、ADDLOCALスイッチの最小限のコマンド行を示します。

msiexec /i "Location of .msi" ADDLOCAL=Gina,VersionTracker,English,CheckEnrollment.x86_only,Release_Only

次に、ドイツ語言語パックを追加するサイレント・インストール(/q)を行う場合のコマンド行の例を示します。

msiexec /i "Location of .msi" /q ADDLOCAL=Gina,vgo_sspr_client,English,German,CheckEnrollment.x86_only,Release_Only

スイッチ

アクション

/i

インストール。

/q

出力抑制インストール。

ADDLOCAL

インストール・オプションをここに続ける(次のリストを参照)

4.8.2.1 ADDLOCALオプション

- GINA:

- Windows 7より前のすべてのオペレーティング・システムで必須です(Windows Vistaはサポート対象外です)。

- Windows 7の場合は指定しないでください。

- 必須項目:

- VersionTracker

- CheckEnrollment.x86_only (32ビット・オペレーティング・システムのみ)

- CheckEnrollment.x64_only (64ビット・オペレーティング・システムのみ)

- Release_Only (32ビット・オペレーティング・システムのみ)

- Release_Only.x64 (64ビット・オペレーティング・システムのみ)

- Vista_Only (Windows 7 32ビットのみ)

- Vista_Only.x64 (Windows 7 64ビットのみ)

- インストール可能な言語パック(Englishは常にインストールされます): Brazilian Portuguese、Czech, Danish、Dutch、English、Finnish、French、German、Greek、Hungarian、Italian、Japanese、Korean、Norwegian、Polish、Portuguese、Romanian、Russian、Simplified Chinese、Slovak、Spanish、Swedish、Thai、Traditional Chinese、Turkish

4.8.3 コマンド行によるPassword Resetクライアント側ソフトウェアのインストール

注意:

Microsoft Windows 7 32ビット・オペレーティング・システム上でクライアントを以前のバージョンからアップグレードする場合、次の手順を実行する前に以前のバージョンをアンインストールする必要があります。

Password Resetクライアントは、msiexecコマンドの次の構文を使用してインストールできます。

msiexec /q /i c:\ESSO-LM_installer.msi ADDLOCAL="component1,component2,component3" programURLs [REBOOT=ReallySuppress]

使用可能なコンポーネントの名前および機能については、次の表を参照してください。

msiexecのコマンド行スイッチのリストについては、http://msdn.microsoft.comにあるMicrosoft MSDNサイトを参照してください。

REBOOT=ReallySuppress: どのような状況でも再起動しないようにインストーラに指示します。

例:

次のコマンド行を使用して、ワークステーションを再起動せずにサイレント・インストールを実行できます。このコマンドでは、ユーザーのWindowsディレクトリがWindowsで、Logon Managerのインストーラ・ファイルがESSO-LM_installer.msiという名前であると仮定します。

msiexec /q /i "ESSO-LM 07.004_121.x64.msi" ADDLOCAL="InternetExplorer.x64,JavaHelper.x64,Mozilla,Chrome.x64,MainframeEmulators,PR_Components.x64,Provisioning,Authenticators,MSauth,AD_Sync,English_Pack" REG_CHECKENROLLURL="http://host/vgoselfservicereset/resetclient/
checkenrollment.aspx" REG_CHECKFORCEENROLLURL="http://host/vgoselfservicereset/
resetclient/checkforceenrollment.aspx" REG_ENROLLURL=" http://host/vgoselfservicereset/enrollmentclient/enrolluser.aspx" REG_RESETURL="http://host/vgoselfservicereset/resetclient/default.aspx" REG_CHECKSTATUSURL="http://host/vgoselfservicereset/resetclient/checkstatus.aspx" REBOOT=ReallySuppress

注意:

前述の例のとおり、インストーラの.msiへのフルパスを入力する必要があります。各REG_*="*.aspx"は、改行ではなく単一の空白で区切る必要があります。

ProgramURL (必須)

REG_CHECKENROLLURL=" http://host/vgoselfservicereset/resetclient/checkenrollment.aspx"

REG_CHECKFORCEENROLLURL=" http://host/vgoselfservicereset/resetclient/checkforceenrollment.aspx"

REG_ENROLLURL="http://host/vgoselfservicereset/enrollmentclient/enrolluser.aspx"

REG_RESETURL=" http://host /vgoselfservicereset/resetclient/default.aspx"

REG_CHECKSTATUSURL="http://host /vgoselfservicereset/resetclient/checkstatus.aspx"

ここで、hostは、Password Resetサービスを実行しているサーバーのサーバー名(またはIPアドレス)です。

4.8.4 Logon ManagerなしでのPassword Resetのインストール

Logon Managerをインストールせずにエンド・ユーザー・ワークステーションにPassword Resetのみをインストールするには、次のコマンドを使用します。

msiexec /i ""<lm_installer>.msi" TRANSFORMS="pr_client_only.mst"

必ずインストーラ・ファイルのフルパスおよび名前と、変換ファイルのフルパスを指定してください。

4.8.5 Password Resetクライアントのインストールの完了

この項の手順を実行して、Password Resetクライアント・コンポーネントのインストールを完了します。

4.8.5.1 Windows Server 2008/2012でのパスワード・リセット・クイズの有効化

Password Resetクライアントは"ローカル・システム"アカウントで実行されますが、このアカウントでは、強化されたセキュリティ(より厳格な"信頼できるサイト"ゾーン構成)のため、デフォルトでWindows Server 2008/2012システムにパスワード・リセット・クイズは表示されません。この問題を回避するには、Password Resetサーバーの完全修飾ホスト名を、影響を受けるクライアント・システムの"信頼できるサイト"ゾーンに追加する必要があります。

たとえば、server.subdomain.domain.comを"信頼できるサイト"ゾーンに追加するには、次のレジストリ・キーを作成します。

[HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\domain.com\server.subdomain]

そのキーの下に、*という名前のDWORD値を作成して、2に設定します。

値の名前が*の場合、httpプロトコルとhttpsプロトコルの両方が許可され、値設定が2の場合、そのエントリは"信頼できるサイト"ゾーンのメンバーです。

4.8.5.2 (オプション)指定したユーザー・アカウントでのリセット・クライアントの実行

注意:

この機能は、Windows 7では使用不可です。Windows XPでのみ使用可能です。

aspnet_setreg.exeツールは、Microsoft社の次のWebサイトからダウンロードできます。

http://support.microsoft.com/kb/329290

Password Resetクライアントでは、Local Systemアカウントのかわりに、指定したユーザー・アカウントでリセット・クライアントを実行できます。これによって、リセット・クライアントが、リソースに対する不必要なアクセス権を持つ可能性が排除されます。

この機能を有効にするには、次の手順を実行します。

1. コマンド・プロンプトを開いて、次のコマンドを入力します。
aspnet_setreg -k:software\passlogix\sspr\windowsinterface -u:domain\username -p:password

domain\usernameおよびpasswordを実際の値に置き換えます。

2. キーHKLM\Software\Passlogix\SSPR\WindowsInterface\ASPNET_SETREGが存在することを確認します。このキーには、2つの値(passwordおよびuserName)が存在する必要があります。

3. ASPNET_SETREGキーの名前をRestrictedUserに変更します。
リセット・クライアントは、構成したユーザーを使用して起動する必要があります。登録クライアントは、ログオンしたユーザーを使用して実行します。

この機能をテストするには、次の手順を実行します。

1. レジストリを開いてHKLM\Software\Passlogix\SSPR\WindowsInterfaceに移動します。

2. EnrollURLの値をコピーして、ResetURLにその値を設定します。

3. Password Resetサーバー上のEnrollmentClient Webアプリケーションの認証方式を、「Digest」から「Windows Authentication」に変更します。

注意:

EnrollmentClient WebアプリケーションのIIS認証方式の変更は、このテスト目的でのみ必要となるため、テストが正常に完了したら、認証方式を「Digest」に戻す必要があります。

4. Password ResetサーバーのURLを、このマシンの「信頼済みサイト」ゾーンに手動で追加します。

5. Password Resetクライアントを起動します。指定されたユーザーをリストする「Enrollment」画面が表示されます。

4.8.5.3 リダイレクション・ポップアップの無効化

Password Resetがユーザーを外部のリセット・ページにリダイレクトすることを示すポップアップを無効にできます。

このポップアップを無効にするために、Password Resetクライアントは、windowsinterface.exeを起動する前にHKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings (値: WarnonZoneCrossing)という設定を作成し、リダイレクション後にそれをリストアします。

4.8.5.4 カスタム・ウィンドウ・タイトルの指定

選択したウィンドウの一番上にPassword ResetのGINAボタンがバナーとして表示されるようにPassword Resetを構成できます。

このバナーを表示するウィンドウを指定するには、それらをHKLM\Software\Passlogix\SSPR\WindowsInterface\xx\GinaWindowsのリストに追加します。

ここで、xxは、現在インストールされているPassword Resetの言語パックの2文字の言語コードです。

このキー内で、バナーを表示するウィンドウ・タイトルごとにREG_SZ値を追加します。値の名前はWindowTitleXで、Xは1から始まる順序番号であり、値のデータはウィンドウ・タイトルです。次に例を示します。

WindowTitle1=Log On to Windows

WindowTitle2=Unlock Computer

注意:

ウィンドウ・タイトルは、先頭または末尾の空白を含め、完全に一致している必要があります。

4.8.5.5 Password Resetクライアントとカスタム・リセットWebアプリケーションとの併用

Password Resetサーバー・インストールが存在しない状態でPassword Resetクライアントを構成できます。

次の手順に従ってクライアント・マシンにPassword Resetをインストールします。

1. カスタム・リセットWebアプリケーションを指すようにResetURLの値を設定します。

2. 成功レスポンスを返すリソースにStatusURLを設定します。これによって、Password Resetによるステータスの確認がバイパスされ、ResetURLのコンテンツの表示が強制されます。詳細は、次を参照してください。
StatusURL設定は、次のコンテンツを含む(HTMLファイルなどの)リソースを指す必要があります。

<HTML>

<HEAD>

<TITLE>CHECKSTATUS</TITLE>

</HEAD>

<BODY>

GOOD SSPR STATUS

</BODY>

</HTML>

5 Provisioning Gatewayのインストール

この項では、Provisioning Gatewayをインストールするために必要な手順について説明します。
内容は次のとおりです:

- Provisioning Gatewayをインストールするための前提条件

- Windows Server 2008/2008 R2でのProvisioning Gateway用のIISの構成

- Windows Server 2012でのProvisioning Gateway用のIISの構成

- 既存のProvisioning Gatewayインストールのアップグレード

- Provisioning Gatewayサーバー側コンポーネントのインストール

- (オプション)クライアント側Provisioning Gatewayコマンド行インタフェース(CLI)のインストール

- Provisioning Gatewayのインストールの完了

5.1 Provisioning Gatewayをインストールするための前提条件

Provisioning Gatewayをインストールする前に、次の前提条件が満たされていることを確認してください。

注意:

Windows XPにインストールする場合、Microsoft社から最新のルート証明書更新をインストールしないと、インストールに失敗します。

詳細は、次の場所にあるMicrosoftナレッジ・ベースの記事を参照してください。

http://support.microsoft.com/kb/931125

インストールに影響する可能性のある最新の要件または変更について確認するには、最新のリリース・ノートを参照してください。

- Provisioning Gatewayサーバー側コンポーネントをインストールするには、管理権限を持つユーザーとしてインストーラを実行する必要があり、そうしない場合、インストーラは失敗します。

- 最小構成のProvisioning Gatewayサーバーでは、次のソフトウェアが動作している必要があります。

- Microsoft Windows Server 2008/2008 R2またはWindows Server 2012。

- Microsoft Internet Information Serverバージョン7.0以上。Provisioning GatewayはIIS Webサーバーを使用して、ユーザー登録、一般設定および管理タスクのためのブラウザベースのインタフェースを提供します。

- Microsoft Active Directory®、Microsoft AD LDS (ADAM)、Oracle Directory Server Enterprise Edition、Oracle Unified Directory、Oracle Virtual Directory、IBM LDAP Directory、Oracle Internet Directory、Novell eDirectory Server。

注意:

Active DirectoryまたはAD LDS (ADAM)を使用する場合、IISで使用される匿名アカウントに管理権限を付与し、サーバーをドメインに結合する必要があります。

- Microsoft SQL Server 2000、Microsoft SQL Server 2000 Desktop Engine (MSDE 2000)、Microsoft SQL Server 2005 Express EditionまたはMicrosoft SQL Server 2005 (イベント・ロギングを使用している場合にのみ必要)、または

- Oracle Database

- 『ディレクトリ・ベースのリポジトリでのLogon Managerのデプロイ』の説明に従って、データ・リポジトリを構成する必要があります。このリポジトリにProvisioning Gatewayデータが格納されます。Logon Managerがすでにデプロイされている場合は、既存のLogon ManagerリポジトリをProvisioning Gatewayで使用できます。

- Provisioning Gatewayのインストール中に、Provisioning Gatewayリポジトリに対する接続を設定するために、次の情報を指定する必要があります。

host

ディレクトリ・サーバー・インスタンスをホストするサーバーの名前

port

ディレクトリ・サーバー・インスタンスのポート番号

name1[name2, name3]

ディレクトリ・サーバー・ドメイン・ルートの識別名

- SSL用のX.509証明書を認証局(CA)から取得する必要があります。また、信頼できるルートCA証明書を、認証局からローカル・コンピュータの信頼できるルートCA証明書のリストにダウンロードする必要があります。詳細は、「SSL接続のためのProvisioning Gatewayの構成」を参照してください。
適切な認証局がなく、Microsoft証明書サービスを使用して証明書を取得する場合は、Microsoft証明書サービスを使用して必要な証明書を取得する方法が説明されているOracle Enterprise Single Sign-On Suite管理者ガイドを参照してください。このガイドでは、証明書を使用するためのProvisioning Gatewayの設定方法についても説明しています。

5.1.1 自動(サイレント)インストールのための前提条件

Logon Manager、Provisioning GatewayクライアントおよびPassword Resetクライアントを自動(サイレント)モードで正常にインストールするには、インストーラの実行前にWindows Management Instrumentation (WMI)サービスが実行されている必要があります。

WMIサービスが実行されているかどうかを確認し、必要に応じて開始するには、各ターゲット・マシンで次の手順を実行します。

1. システム管理コンソールを起動します。

2. 「サービス」スナップインを開きます。

3. 「Windows Management Instrumentation」サービスに移動して、その状態と開始モードを確認します。

状態に応じて、次のいずれかの手順を実行します。

- 状態が「開始」の場合はWMIが実行されているため、次の項に進みます。

- 状態が空白の場合、サービスの起動タイプを確認して次のように開始します。

1. サービスをダブルクリックします。

2. 表示されるプロパティ・ボックスで、環境に合わせてスタートアップの種類を「手動」または「自動」に設定し、「適用」をクリックします。

3. 「開始」をクリックします。状態が「開始」に変わります。

4. 「OK」をクリックして、サービスのプロパティ・ダイアログ・ボックスを閉じます。

5.2 Windows Server 2008/2008 R2でのProvisioning Gateway用のIISの構成

Provisioning Gatewayサーバーをインストールする前に、Microsoft Internet Information Servicesを次の手順でインストールする必要があります。

1. Windows Server Managerで「役割」→「役割の追加」の順に選択します。

2. 役割の追加ウィザードで、「Webサーバー(IIS)」の役割を選択します。

3. 表示されるポップアップ・ウィンドウで、追加する必要な機能を確認します。

4. 「Next」をクリックします。

5. 「役割サービス」ウィンドウで、次の役割を選択します(まだ選択していない場合)。

- アプリケーション開発: ASP .NETおよびそれに必要な機能

- HTTP基本機能: 静的なコンテンツ、既定のコンテンツ、ディレクトリの参照、HTTPエラー

- 状態と診断: HTTPログ、要求の監視

- セキュリティ: Windows認証、ダイジェスト認証、IPおよびドメインの制限、要求のフィルタリング

- パフォーマンス: 静的なコンテンツの圧縮

- 管理ツール: IIS管理コンソール、IIS管理スクリプトおよびツール、管理サービス、IIS 6管理互換(およびサブコンポーネントすべて)

6. 「Next」をクリックします。

7. 確認ウィンドウで、インストールの選択を確認します。選択を変更する場合は、「戻る」をクリックします。インストールを開始する準備ができたら、「インストール」をクリックします。
インストールが完了したら、「Provisioning Gatewayサーバー側コンポーネントのインストール」に進みます。

5.3 Windows Server 2012でのProvisioning Gateway用のIISの構成

Provisioning Gatewayサーバーをインストールする前に、Microsoft Internet Information Servicesを次の手順でインストールする必要があります。

1. Windows Server Managerの右上隅にある「管理」をクリックして、表示されるメニューから「役割と機能の追加」を選択します。

2. 役割と機能の追加ウィザードで、「次へ」をクリックします。

3. 「インストールの種類の選択」画面で「役割ベースまたは機能ベースのインストール」を選択して、「次へ」をクリックします。

4. 「対象サーバーの選択」画面で「サーバー プールからサーバーを選択」オプションを選択してから、リストから対象サーバーを選択して「次へ」をクリックします。

5. 「Select server roles」画面で「Web Server (IIS)」を選択し、IISで必要な機能の追加を要求するポップアップが表示された場合は「Add Features」をクリックして、「Next」をクリックします。

6. 「Webサーバーの役割(IIS)」画面で「次へ」をクリックします。

7. 「機能」画面で「次へ」をクリックします。

8. 「役割サービス」画面で、次の役割を選択し、選択内容に関連する機能のインストールを求められた場合は受け入れます。

- HTTP基本機能: 既定のドキュメント、ディレクトリの参照、HTTPエラー、静的なコンテンツ、HTTPリダイレクション

- 状態と診断: HTTPログ、ログ ツール、要求の監視、トレース

- パフォーマンス: 静的なコンテンツの圧縮

- セキュリティ: 要求のフィルタリング、ダイジェスト認証、IPおよびドメインの制限、Windows認証

- アプリケーション開発: .NET拡張機能3.5、.NET拡張機能4.5、ASP.NET 3.5、ASP.NET 4.5、ISAPI拡張、ISAPIフィルタ

- 管理ツール: IIS管理コンソール、IIS 6管理互換(およびサブコンポーネントすべて)、IIS管理スクリプトおよびツール

9. 「Next」をクリックします。

10. 確認画面で選択内容を確認し、「インストール」をクリックして、インストールが完了するのを待ちます。
インストールが完了したら、「Provisioning Gatewayサーバー側コンポーネントのインストール」に進みます。

5.4 既存のProvisioning Gatewayインストールのアップグレード

以前のリリースのProvisioning Gatewayからアップグレードする場合、次の手順を実行します。

- Provisioning Gatewayサーバー。「Provisioning Gatewayサーバー側コンポーネントをインストールするための前提条件」の説明に従って、Provisioning Gatewayサーバーをインストールします。インストーラの実行後、Microsoft IISをリセットして、匿名サービス・アカウントがまだ割り当てられていることを確認します。

- Provisioning Gatewayエージェント。エージェントは、Logon Managerに統合されており、自動的に一緒にインストールされます。アップグレードするには、以前のリリースのProvisioning Gatewayエージェントをすべてアンインストールし、Logon Managerを停止してから、「既存のLogon Managerインストールのアップグレード」の手順に従います。完了したらLogon Managerを再起動します。

5.5 Provisioning Gatewayサーバー側コンポーネントのインストール

Provisioning Gatewayサーバーをインストールして構成するには、次の手順を実行します。

1. すべてのプログラムを終了します。

2. ESSO-PG_Server.msiインストーラ・ファイルを起動します。

3. 「Welcome」パネルで「Next」をクリックします。

4. 「Setup Type」画面で、「Complete」または「Custom」を選択します。「Complete」では、すべてのプログラム・ファイルがインストールされます。「Custom」では、インストールするプログラム・ファイルとそのインストール場所を選択できます。カスタム・インストールは、上級ユーザーにのみ推奨されます。「Next」をクリックします。

5. Provisioning Gatewayをインストールする準備が整いました。「Install」をクリックします。インストールの完了を待機します。完了したら、「Finish」をクリックします。

5.6 (オプション)クライアント側Provisioning Gatewayコマンド行インタフェース(CLI)のインストール

注意:

このインストール手順はオプションです。Provisioning Gateway Client CLI SDKは、プロビジョニング・ソリューションの統合コンポーネントとして提供されています。

このソフトウェアでは、ターゲット・マシンにJava Runtime Environmentバージョン1.6以上がインストールされている必要があります。

Provisioning Gatewayサーバーによって、他のサード・パーティ・プロビジョニング・システムとの統合を可能にするWebサービスが提供されます。Provisioning Gateway CLIを使用して、このWebサービスと通信できます。これを従来のスクリプト・ツールとして使用するか、または必要に応じてSDKライブラリを使用して、Provisioning Gatewayサーバー用のより複雑な統合ソリューションおよびコネクタを開発できます。

Provisioning Gateway CLIをインストールして構成するには、次の手順を実行します。CLIの構文と使用方法の詳細は、Provisioning Gateway CLIガイドを参照してください。

1. すべてのプログラムを終了します。

2. ESSO-PG_ClientCLI.msiインストーラ・ファイルを起動します。

3. 「Welcome」パネルで「Next」をクリックします。

4. 「Setup Type」パネルが表示されます。「Complete」または「Custom」を選択します。「Complete」ではすべてのプログラム・ファイルがインストールされ、「Custom」ではインストールするプログラム・ファイルとその場所を選択できます。カスタム・インストールは、上級ユーザーにのみ推奨されます。Java CLIをインストールするには、カスタム・パネルを選択する必要があります。

5. 適切なセットアップ・オプションを選択して「Next」をクリックします。

6. Provisioning Gatewayをインストールする準備が整いました。「Install」をクリックします。

7. インストールが完了したら、「Finish」をクリックします。

5.7 Provisioning Gatewayのインストールの完了

この項では、完全に動作するProvisioning Gatewayデプロイメントを作成するために必要な作業について説明します。内容は次のとおりです:

- PMSERVICEアカウントへの必要な権限の付与

- 自動再同期化間隔の設定

- ドメイン・ユーザーへのプロビジョニング権限の付与

- Syslogの構成

- 匿名ログオンのためのユーザー・アカウントの作成または指定

- IIS匿名アカウントへのAD LDS (ADAM)に対するアクセス権の付与

- SSL接続のためのProvisioning Gatewayの構成

- Oracle Privileged Account Managerに接続するためのProvisioning Gatewayサーバーの構成

5.7.1 PMSERVICEアカウントへの必要な権限の付与

次のように、ユーザー・データを保持する各リポジトリ・コンテナに対してProvisioning Gatewayが必要とする権限をPMSERVICEアカウントに付与する必要があります。

1. リポジトリで、Logon Manager構成データ・コンテナ(通常はSSOConfig)に移動し、その権限ダイアログを開いてから次の手順を実行します。

1. 「Apply onto:」ドロップダウン・リストから「This object and all child objects」を選択します。

2. SSOConfigコンテナに対する読取り専用アクセス権をPMSERVICEアカウントに付与します。

2. 「Users」コンテナに移動し、その権限ダイアログを開いてから次の手順を実行します。

1. 「Apply Onto:」ドロップダウン・リストから「User Objects」を選択します。

2. PMSERVICEアカウントに次の「ALLOW」権限を付与します。
「Create vGOConfig Objects」、「Delete vGOConfig Objects」、「Create vGOUserData Objects」、「Delete vGOUserData Objects」、「List Contents」、「Read All Properties」、「Read Permissions」。

3. PMSERVICEアカウントにvGOConfigオブジェクトに対する「Full Control」権限を付与します。

4. PMSERVICEアカウントにvGOLocatorClassオブジェクトに対する「Full Control」権限を付与します。

5. PMSERVICEアカウントにvGOUserDataオブジェクトに対する「Full Control」権限を付与します。

6. PMSERVICEアカウントにvGOSecretオブジェクトに対する「Full Control」権限を付与します。

5.7.2 自動再同期化間隔の設定

Provisioning Gatewayが適切に動作するためには、Provisioning Gatewayエージェントがディレクトリからのプロビジョニングの指示を取得するように同期する必要があります。

Provisioning Gatewayをデプロイする場合、同期間隔を決定する必要があります。これが0 (ゼロ)以外の値に設定されていない場合、同期はユーザー・アクティビティ時にのみ発生します。このキーは、15分などの値に設定することをお薦めします。この設定によって、プロビジョニングの指示が、Provisioning Gatewayサーバーによって配置されたときから15分(または任意の設定間隔)以内にディレクトリから取得されることが保証されます。

1. Oracle Enterprise Single Sign-On Administrative Consoleを起動します。

2. 「Logon Manager」→「Global Agent Settings」→[Target Settings Set]→「Synchronization」の順に展開します。

3. 「Interval for automatic resynchronization」オプションの隣にあるチェック・ボックスを選択して、フィールドに適切な値を入力します。

4. リポジトリに変更を発行します。

注意:

この手順は、実行中のLogon Managerエージェントにのみ適用されます。実行中のLogon Managerが存在しない場合、プロビジョニングの指示はユーザーがLogon Managerを起動するまで処理されません。

プロビジョニングの指示を処理するためには、ユーザーがProvisioning Gatewayに対して認証されている必要があります。ユーザーがProvisioning Gatewayに対して認証されていない場合(タイムアウトによる期限切れなど)、認証UIが表示され、ユーザーが認証されるまで同期プロセスはブロックされます。

5.7.3 ドメイン・ユーザーへのプロビジョニング権限の付与

通常のドメイン・ユーザーがProvisioning Gatewayを通じてLogon Manager資格証明をプロビジョニングできるようにする場合、次の手順を実行します。

- ユーザー・グループを作成してそれに適切なドメイン・ユーザー・アカウントを追加します。

- 「PMSERVICEアカウントへの必要な権限の付与」に記載されている権限をグループに付与します。

- PMSERVICEアカウントをグループに追加します。

5.7.4 Syslogの構成

Provisioning Gatewayのインストールの完了後、Syslogを構成する必要があります。

1. 「Settings」オプションをクリックし、次に「Event Log」をクリックします。

2. 「Database Type」ドロップダウン・メニューから、「Syslog Daemon」を選択します。

3. 「Save Changes」をクリックします。

4. レジストリで次の変更を実行します。

1. regeditを実行して次の場所に移動します。
HKEY_LOCAL_MACHINE\SOFTWARE\Passlogix\Extensions\
EventManager\Syslog

2. SyslogサーバーのIPアドレスをRemoteAddressキーに入力します。

注意:

標準以外のSyslogポートを使用する場合、Syslogサーバーの正しいポート番号をRemotePortキーに入力してください。

5.7.5 匿名ログオンのためのユーザー・アカウントの作成または指定

Provisioning Gatewayユーザーおよび管理者がProvisioning Gateway Webサービスにアクセスするために使用する専用の匿名ユーザー・アカウントを作成または指定する必要があります。この匿名ユーザー・アカウントは、Administratorsグループのメンバーである必要があります。

注意:

IISのデフォルトの匿名ユーザー・アカウントであるIUSR_MACHINE_NAMEは、管理者グループのメンバーではないため、管理者であるドメイン・ユーザー・アカウントを作成または選択する必要があり、それによってアカウントは次のタスクを実行できるようになります。

- 管理コンソールで使用するWebサービス・アカウントの変更

- ディレクトリ・サービスを対象とする読取りおよび書込み(Active DirectoryまたはAD LDS (ADAM)の場合)

- ローカル・マシンのレジストリ(HKLM)への書込み

- 新しいユーザー・アカウントを作成するか、既存のアカウントに管理者権限を割り当てるには、「Active Directoryユーザーとコンピュータ」コンソール(Active Directoryドメインの場合)または「コンピュータの管理」コンソール(Active Directory以外のドメインの場合)を使用します。

作成または選択するユーザー・アカウントは、この手順中に「サービス」ツールの「匿名ユーザー」ダイアログで指定されます。

1. Microsoft IISマネージャを起動します。

2. 左側のツリーで、「<Server>」→「サイト」→「Default Web Site」の順にドリルダウンして、「v-GO PM Service」ノードを選択します。

3. 中央ペインの「IIS」セクションで、「認証」をダブルクリックします。

4. 「認証」ペインで、「匿名認証」を右クリックして「編集」を選択します。

5. 表示されるダイアログ・ボックスで、「特定のユーザー」を選択して「設定」をクリックします。

6. 表示されるダイアログ・ボックスで、匿名アクセス・ユーザー・アカウントの名前を<DOMAIN>\<user>の形式で入力し、適切なパスワードを指定して「OK」をクリックします。

7. 「OK」をクリックして「匿名資格情報の編集」ダイアログを閉じます。

8. 終了したら、Microsoft IISを再起動して変更を適用します。

注意:

デフォルトでは、Provisioning Gateway管理コンソールは制限されていません。バックエンド・ストレージに資格証明を持つすべてのユーザーがログインできます。特定のグループに対するアクセスを制限する場合、Enterprise Single Sign-On Suite管理者ガイドのProvisioning Gatewayの追加のセキュリティ設定に関する説明を参照してください。

5.7.6 IIS匿名アカウントへのAD LDS (ADAM)に対するアクセス権の付与

注意:

この手順は、AD LDS (ADAM)ユーザーにのみ適用されます。前述の手順4で選択したアカウントを使用します。

1. AD LDS (ADAM)のコマンド行インタフェースを起動します。

2. 次のように入力します。
dsacls [\\SERVER:PORT\DISTINGUISHED_NAME] /g [USER]:ga /i:t"

次に例を示します。

dsacls \\localhost:50000\ou=pm,dc=passlogix,dc=com /g PLX\PMWeb:ga /i:t

3. アカウントにアクセス権が付与されたことを確認するには、次のように入力します。
dsacls \\SERVER:PORT\DISTINGUISHED_NAME

出力にディレクトリ・オブジェクトのセキュリティ情報が示されます。匿名アカウントは、完全アクセス権のリストに表示されます。

5.7.7 SSL接続のためのProvisioning Gatewayの構成

Windows Server 2008/2008 R2またはWindows Server 2012とのSSL接続のためにProvisioning Gatewayを構成する前に、信頼できる認証局(CA)からX.509証明書を取得する必要があります。この信頼できるCAを、信頼できるルートCAのリストにインストールする必要があります。証明書は、現在の日付において有効である必要があり、そのサブジェクトは、Provisioning Gatewayクライアント・インスタンスがPassword Resetサーバー・インスタンスへの接続時に使用するネットワーク名(ホスト名またはホスト名とドメイン接尾辞を含む完全修飾URL)と正確に一致している必要があります。この項の手順では、有効な証明書を取得済で、インストールの準備が完了していると仮定します。

注意:

Microsoft Webサイトの次の記事で、証明書のインストールとSSLの設定に関する情報を参照できます。

· "How to: Obtain an X.509 Certificate" http://msdn2.microsoft.com/en-us/library/ms819929.aspx

· "How to: Set Up SSL on a Web Server" http://msdn2.microsoft.com/en-us/library/aa302411.aspx

Microsoft証明書サービスを使用してX.509証明書を取得する場合、サーバー認証証明書を選択してください。また、「キーのオプション」セクションで、「エクスポート可能なキーとしてマークする」および「ローカル コンピュータ ストアを使用する」オプションを選択します。

Provisioning GatewayサーバーへのSSL専用接続を実行するために必要な手順は、次のとおりです。

1. Microsoft IISでのX.509証明書のインストール

2. Provisioning Gatewayサーバーの構成ファイルの変更

3. Provisioning Gatewayの接続をSSLのみに制限

4. 新しい接続構成のテスト

5.7.7.1 Microsoft IISでのX.509証明書のインストール

1. Microsoft IISマネージャを起動します。

2. 左側の「接続」ペインで、ターゲット・サーバー・インスタンスを選択します。

3. 中央の「ホーム」ペインで、「サーバー証明書」アイコンをダブルクリックします。

4. 右側の「操作」ペインで、「証明書の要求の完了」をクリックします。

5. 表示される「証明書の要求を完了する」ダイアログで、次の手順を実行します。

1. 「証明機関の応答が含まれるファイルの名前」フィールドで、対象のX.509証明書のフルパスおよびファイル名を参照するか入力します。

2. 「フレンドリ名」フィールドに、証明書のわかりやすい名前を入力します。

3. 「OK」をクリックします。

証明書がターゲット・マシンの「サーバー証明書」リストに表示されます。

6. インストールした証明書を、選択したサイトのhttpsプロトコルにバインドします。左側の「接続」ペインで、ターゲット・マシンのノードを展開してドリルダウンし、「Default Web Site」ノードを選択します。

7. 右側の「操作」ペインの「サイトの編集」セクションで、「バインド」をクリックします。

8. 表示される「サイト バインド」ダイアログで、「追加」をクリックします。

9. 表示される「サイト バインドの追加」ダイアログで、次の手順を実行します。

1. 「種類」ドロップダウン・リストから、「https」を選択します。

2. 「証明書」ドロップダウン・リストから、この手順で前にインストールした証明書を選択します。

3. 残りの設定はデフォルトのままにします。

4. 「OK」をクリックして「サイト バインドの追加」ダイアログを閉じます。

10. 「閉じる」をクリックして「サイト バインド」ダイアログを閉じます。

5.7.7.2 Provisioning Gatewayサーバーの構成ファイルの変更

Provisioning Gateway Webページを呼び出す場合にHTTP-over-SSL (HTTPS)プロトコルを使用するように、次の構成ファイルを更新する必要があります。

%PROGRAMFILES%\Passlogix\v-GO PM\Console\web.config

1. <appSettings>セクションを見つけます。

2. localhost.UPキー値を次の手順で変更します。

1. httpをhttpsに変更します。

2. localhostを、X.509証明書のIssued Toの値に置き換えます。(この値は、この手順の前の部分で記録しました。)

3. (オプション)カスタム・ポートを使用してこのサービスに接続する場合、ホスト名の末尾にセミコロンで区切ったポート番号を追加します。
例: https://sssolabmem.ssolab.com:1880。

3. ファイルを保存して閉じます。

5.7.7.3 Provisioning Gatewayの接続をSSLのみに制限

1. Microsoft IISマネージャを起動します(まだ起動していない場合)。

2. 左側の「接続」ペインで、ターゲット・マシンのノードを選択します。

3. ターゲット・マシンのノードをドリルダウンして、「サイト」→「Default Web Site」ノードを選択します。

4. 中央ペインで、「SSL 設定」アイコンをダブルクリックします。

5. 中央ペインの「SSL 設定」画面で、「SSL が必要」チェック・ボックスを選択し、「クライアント証明書」オプションはデフォルト値のままにします。

6. 右側の「操作」ペインで、「適用」をクリックして、変更内容を保存します。

5.7.7.4 新しい接続構成のテスト

Provisioning Gatewayサーバー・マシン上のWebブラウザを直接使用して(このテストはリモート・マシンから実行しないでください)、新しいSSL対応のURLを使用してProvisioning Gateway Webサービスにアクセスします(httpのかわりにhttpsプロトコル・ヘッダーを使用します)。

Provisioning Gatewayコンソールに実際にログオンするためには適切な管理権限が付与されている必要があります(必要な権限の付与方法については、Enterprise Single Sign-On Suite管理者ガイドのProvisioning Gatewayに関する説明を参照してください)。

URLは次のとおりです。

https://<new_host_name>:<new_port>/vGo%20PM%20Console/logon.aspx

URLのロードに失敗した場合、または証明書エラーが表示された場合は、仮想ディレクトリの権限や証明書のオプションなどの構成を確認し、必要に応じて修正してから再試行してください。

5.7.8 Oracle Privileged Account Managerに接続するためのProvisioning Gatewayサーバーの構成

Provisioning Gatewayサーバーは、Oracle Privileged Account Manager (OPAM)とLogon Managerとの間のアダプタとして機能し、Provisioning Gatewayクライアントの「Privileged Accounts」コンポーネント(OPAMで保護されたリソースに対するシングル・サインオン機能を使用可能にする)のインストールを選択した場合は必ず必要です。

後述の手順を実行する前に、Provisioning Gatewayサーバーの信頼できるルート認証局ストアにOPAM SSL証明書をインポートする必要があります。OPAMでは、暗号化されていない(非SSLの)接続が許可されないため、OPAMインスタンスとProvisioning Gatewayとの間のSSL接続を使用可能にするためにこの証明書が必要になります。

注意:

証明書のインポート時には、現在ログインしているユーザー・アカウントの証明書ではなく、コンピュータ・アカウントの証明書をインストールする必要があります。

OPAMサーバーの証明書の場所は次のとおりです。

<Middleware>\wlserver_10.3\server\lib\CertGenCA.der

ご使用の環境で必要な場合は、カスタム証明書を作成して使用することもできます。

この統合を有効にするには、Provisioning Gatewayサーバーと目的のOPAMサーバーとの接続を構成して、アカウントのチェックインとチェックアウトを実行可能にする必要があります。次の手順を実行します。

1. <PG_Server_Install_Directory>\Serviceディレクトリにあるweb.config fileを開きます。

2. <appsettings>セクションを見つけ、その最後に(しかし、終了タグ</appsettings>より前に)次の行を追加します。
<add key="OpamUrl" value ="<OPAM_Server_URL>" />

<add key="OpamUsername" value="<OPAM_Account_Name>" />

<add key="OpamPassword" value="<OPAM_Account_Password>" />

各パラメータの意味は次のとおりです。

<OPAM_Server_URL>は、使用するOPAMサーバーの完全URLです。

<OPAM_Account_Name>は、OPAMサーバーへの接続に使用するOPAMアカウントのユーザー名です。

<OPAM_Account_Password>は、前述のOPAMアカウント用のパスワードです。

3. web.configファイルを保存して閉じます。

4. 次のコマンドをコマンド・プロンプトで実行し、変更されたweb.configファイルを暗号化します。
aspnet_regiis.exe -pe "appSettings" -app "/v-go pm service"

aspnet_regiis.exe -pa "NetFrameworkConfigurationKey" "NT Authority\Network Service"

5.7.9 Provisioning Gateway用のOracle Internet Directoryの構成

Provisioning GatewayをOracle Internet Directoryを使用してリポジトリとしてデプロイする場合は、Provisioning Gatewayをインストールする前に、次の作業を実行する必要があります。

1. Oracle Internet DirectoryにProvisioning Gatewayの管理者のユーザー・グループを作成し、Provisioning Gatewayの管理者のアカウントをそのグループに追加します。

2. orclPrivilegeGroupオブジェクト・クラスをそのグループに追加します。

3. リポジトリ内の各Peopleコンテナで、読取り、書込み、変更および削除権限をそのグループに付与します。

6 Universal Authentication Managerのインストール

この項では、Universal Authentication Managerをインストールするために必要な手順について説明します。

内容は次のとおりです:

- Universal Authentication Managerをインストールするための前提条件

- Microsoft Active Directoryと同期するためのUniversal Authentication Managerの構成

- Microsoft AD LDS (ADAM)と同期するためのUniversal Authentication Managerの構成

- 既存のUniversal Authentication Managerインストールのアップグレード

- Universal Authentication Managerクライアント側ソフトウェアのインストール

- 自動(サイレント)インストールの実行

- Universal Authentication Managerのインストールの完了

6.1 Universal Authentication Managerをインストールするための前提条件

Universal Authentication Managerをインストールする前に、この項にリストされている前提条件が満たされていることを確認してください。

注意:

Windows XPにインストールする場合、Microsoft社から最新のルート証明書更新をインストールしないと、インストールに失敗します。

詳細は、次の場所にあるMicrosoftナレッジ・ベースの記事を参照してください。

http://support.microsoft.com/kb/931125

6.1.1 Universal Authentication Managerリポジトリの準備

Universal Authentication Managerをエンタープライズ・モードでインストールする前に、次のいずれかの項の説明に従って、Universal Authentication Managerと組み合せて使用するためにリポジトリを準備する必要があります。

- Microsoft Active Directoryと同期するためのUniversal Authentication Managerの構成

- Microsoft AD LDS (ADAM)と同期するためのUniversal Authentication Managerの構成

6.1.2 Universal Authentication Managerのログオン方法の前提条件

Universal Authentication Managerでは、ログオン方法に応じた様々なサード・パーティ・ソフトウェア、ハードウェアおよびミドルウェアが必要で、それらがサポートされます。一般的な前提条件を次にリストします。このリリースでサポートされるバージョンの詳細なリストは、Oracle Enterprise Single Sign-On Suiteのリリース・ノートを参照してください。

6.1.2.1 スマート・カードを使用するための前提条件

スマート・カードをUniversal Authentication Managerで使用するには、次のサード・パーティ・ソフトウェアおよびハードウェア・コンポーネントが必要です。

- サポートされるスマート・カード・ミドルウェア・ソフトウェア(PKCS#11、MiniDriver/Base CSP、.NET)

- サポートされるスマート・カード・リーダーおよびドライバ

- サポートされるスマート・カード

- 各カードにはシリアル番号が埋め込まれている必要があります。

- スマート・カードPINモードを使用する場合、各カードには、サード・パーティ・ツールまたはUniversal Authentication Managerによって生成された有効なデジタル証明書および鍵ペアが含まれている必要があります。所属する組織のセキュリティ・ポリシーに密接に準拠する方法を使用することをお薦めします。有効な証明書および鍵ペアのないカードは、Universal Authentication Managerが生成したPINでのみ使用できます。

注意:

Universal Authentication Managerで鍵ペアを生成するには、Oracle Enterprise Single Sign-On Universal Authentication Managerの管理者ガイドの説明に従って、Universal Authentication Managerのレジストリ設定を使用して鍵ペアを生成するように構成する必要があります。Universal Authentication Managerはデジタル証明書を生成しませんが、このようなシナリオではその必要はありません。

- カードのミドルウェアは、Microsoft Base CSP標準に準拠するか、PKCS#11に完全に準拠していて、CSPモジュールを提供している必要があります。

- Windows XPおよびMicrosoft Base CSP準拠のミドルウェアを使用する場合、Microsoft Base CSPフレームワークをインストールする必要があります。

- Sagem社のスマート・カードは、このリリースのUniversal Authentication Managerではサポートされません。

- スマート・カード・ミドルウェアをインストールしたら、適切なレジストリ・ファイルをそれにマージする必要があります。レジストリ・ファイルは、Universal Authentication Managerインストール・フォルダの/SmartCardサブフォルダ内にあります。レジストリ・ファイルをダブルクリックしてマージします。11.1.2.2.0リリース以降、このファイルは32ビット・システムおよび64ビット・システムの両方と互換性があるため、以前のリリースの64ビット・システムのファイルは動作しないため使用しないでください。次の表に、サポートされる各スマート・カードのレジストリ・ファイルを示します。

カード

ファミリ/タイプ

ミドルウェア

レジストリ・ファイル

RSA smart card 5200

PKCS11

RSA Authentication Client 2.0

smart_providers_pkcs11_ rsa.reg

NetMaker Net iD - CardOS 1

PKCS11

NetMaker Net iD 4.6

smart_providers_pkcs11_ netid.reg

ORGA JCOP21 v2.2

PKCS11

SafeSign/RaakSign Standard 3.0.23

smart_providers_pkcs11_ safesign.reg

Oberthur ID-ONE Cosmo

PKCS11

SafeSign/RaakSign Standard 3.0.23

smart_providers_pkcs11_ safesign.reg

Athena IDProtect

PKCS11

SafeSign/RaakSign Standard 3.0.23

smart_providers_pkcs11_ safesign.reg

Athena ASECard Crypto

PKCS11

Athena ASECard Crypto 4.33

smart_providers_pkcs11_ athena.reg

HID Crescendo 700

PKCS11

HID RaakSign Standard 2.3

smart_providers_pkcs11_ raaksign.reg

Gemalto Cyberflex 64K (v2c) SPE必須/SPEオプション

PKCS11

Gemalto Access Client 5.5

Xiring CCID Driverバージョン1.00.0002以上/XISIGNリーダー

Gemalto PC-PinPadバージョン4.0.7.5以上/PC PinPadリーダー

smart_providers_pkcs11_ gemalto.reg

IBM JCOP21id

PKCS11

SafeSign Identity Client 2.2.0

smart_providers_pkcs11_ safesign.reg

DigiSign JCOP (MyEIDアプレット付き)

PKCS11

Fujitsu mPollux DigiSign Client 1.3.2-34 (1671)

smart_providers_pkcs11_ fujitsu.reg

Oberthur ID-One Cosmo 64 v5.2D Fast ATR (PIVアプリケーションSDK付き)

PKCS11

ActivIdentity ActivClient 6.1

smart_providers_pkcs11_ actividentity.reg

Cyberflex 64K

PKCS11

Gemalto Access Client 5.5

smart_providers_pkcs11_ gemalto.reg

HID Crescendo 200

MS Base CSP/MiniDriver

HID Global MiniDriver (MS Baseスマート・カードCSP用)

smart_providers_ basecsp.reg

Gemalto .NET v2+

MS Base CSP/MiniDriver

Gemalto MiniDriver (Microsoft Windows XP用)

smart_providers_ basecsp.reg

Oberthur ID-ONE Cosmo

MS Base CSP/MiniDriver

Oberthur ID-ONE MiniDriver (MS Baseスマート・カードCSP用)

smart_providers_ basecsp.reg

Athena ASECard Crypto ILM

MS Base CSP/MiniDriver

Athena ASECard Crypto ILM MiniDriver (MS Baseスマート・カード用)

smart_providers_ basecsp.reg

6.1.2.2 近接型カードを使用するための前提条件

近接型カードをUniversal Authentication Managerで使用するには、次のサード・パーティ・ハードウェア・コンポーネントが必要です。

- サポートされる近接型カード・リーダーおよびドライバ

- サポートされる近接型または非接触型カードおよびトークン

6.1.2.3 指紋リーダーを使用するための前提条件

指紋リーダーをUniversal Authentication Managerで使用するには、次のサード・パーティ・ハードウェア・コンポーネントが必要です。

- サポートされる指紋リーダーおよびドライバ

- 指紋ログオン方法では、BIO-key BSPバージョン1.10以上をインストールする必要があります。

注意:

BIO-key BSPを使用するためのライセンスは、BIO-key社から直接取得する必要があります。オラクル社では、ライセンス取得済のBIO-key BSPは提供しません。

サポートされるカードおよびリーダーの最新のリストについては、BIO-key社に直接問い合せてください。

6.1.3 自動(サイレント)インストールのための前提条件

Universal Authentication Managerを自動(サイレント)モードで正常にインストールするには、インストーラの実行前にWindows Management Instrumentation (WMI)サービスが実行されている必要があります。

WMIサービスが実行されているかどうかを確認し、必要に応じて開始するには、各ターゲット・マシンで次の手順を実行します。

1. システム管理コンソールを起動します。

2. 「サービス」スナップインを開きます。

3. 「Windows Management Instrumentation」サービスに移動して、その状態と開始モードを確認します。

状態に応じて、次のいずれかの手順を実行します。

- 状態が「開始」の場合はWMIが実行されているため、次の項に進みます。

- 状態が空白の場合、サービスの起動タイプを確認して次のように開始します。

1. サービスをダブルクリックします。

2. 表示されるプロパティ・ボックスで、環境に合わせてスタートアップの種類を「手動」または「自動」に設定し、「適用」をクリックします。

3. 「開始」をクリックします。状態が「開始」に変わります。

4. 「OK」をクリックして、サービスのプロパティ・ダイアログ・ボックスを閉じます。

6.2 Microsoft Active Directoryと同期するためのUniversal Authentication Managerの構成

注意:

この項の手順を実行する前に、次の点に注意してください。

- Universal Authentication Managerは、ローカル・モードでインストールし、リポジトリの準備と同期設定の構成が完了した後にのみ、(Oracle Enterprise Single Sign-On Universal Authentication Managerの管理者ガイドの説明に従って)エンタープライズ(同期)・モードに切り替えることをお薦めします。そうしない場合、Universal Authentication Managerのデータ構造が正しく作成されないか、権限がリポジトリ内で正しく設定されない可能性があります。

- Universal Authentication Managerをエンタープライズ・モードでデプロイする場合、リポジトリとの同期が適切に構成およびテストされるまで、ユーザーはどのログオン方法にも登録しないでください。そうしない場合、登録データが失われます。

- Microsoft Active DirectoryとMicrosoft AD LDS (ADAM)のみがリポジトリとしてサポートされます。

Universal Authentication Managerでポリシーおよび登録データを集中的に格納および管理するには、次の手順を実行してActive Directoryベースのリポジトリを準備し、そのリポジトリと同期するようにUniversal Authentication Managerを構成する必要があります。

- Logon Managerがすでにデプロイされている場合のリポジトリの準備

- Universal Authentication Managerサービス・アカウントの作成

- スキーマの拡張

- ユーザー・オブジェクトでのデータ記憶域の有効化

- Universal Authentication Manager記憶域の初期化

- Universal Authentication Managerリポジトリのデータ構造および権限の理解

- Universal Authentication Managerシンクロナイザの構成

- 管理ユーザーのためのUniversal Authentication Manager同期の構成

ユーザー・グループを割り当てる場合、次の点に注意してください。

- 使用するユーザー・グループは同じドメイン内に存在する必要があります。

- 配布グループではなくセキュリティ・グループを使用してください。

- Universal Authentication Managerは、単一のActive Directoryドメインのみをサポートします。

6.2.1 Logon Managerがすでにデプロイされている場合のリポジトリの準備

Logon Managerがすでにインストールされており、Active Directoryベースのリポジトリと同期している場合、Universal Authentication Managerでは、Logon Managerのリポジトリ・コンテナを共有して独自のポリシーおよび設定を格納します。この場合、スキーマを拡張したり、ユーザー・オブジェクトでのデータ記憶域を有効にする必要はありません。かわりに、次の手順を実行します。

- 「Universal Authentication Manager記憶域の初期化」の手順を実行します。

- 「Universal Authentication Managerシンクロナイザの構成」の手順を実行します。

6.2.2 Universal Authentication Managerサービス・アカウントの作成

Universal Authentication Managerでリポジトリのデータの読取りと書込みを行うには、そのための実行権限を付与する必要があります。これを行うには、Universal Authentication Managerがそのリポジトリと相互作用するために使用するサービス・アカウントを作成します。このアカウントは、標準のドメイン・アカウント(Domain Usersのメンバー)である必要があり、その他の権限は不要です。

1. ドメイン・コントローラとして機能しているワークステーションで、「Active Directoryユーザーとコンピュータ」を起動します。

2. 「Users」コンテナを右クリックし、「新規作成」→「ユーザー」を選択します。ユーザー・アカウントは、Domain Usersグループの通常のメンバーです。

3. ユーザーまたはグループ・アカウントの名前を入力し(この例では名前はuamservice)、「次へ」をクリックします。

4. パスワードを入力し、「パスワードを無期限にする」ボックスを選択してから、「ユーザーは次回のログオン時にパスワード変更が必要」ボックスの選択を解除します。

6.2.3 スキーマの拡張

注意:

スキーマをすでに拡張しているかどうかがわからない場合も、そのまま次の手順を実行してください。スキーマ拡張を複数回実行しても、リポジトリやその内部のデータに問題が発生することはありません。

1. Oracle Enterprise Single Sign-On Administrative Consoleを起動します。

2. 「Repository」メニューから、「Extend Schema」を選択します。

3. 「Connect to Repository」ダイアログで、次の手順を実行します。

1. 「Server Name」を入力します(この例では名前はDC01)。

2. ドロップダウン・メニューから「Microsoft Active Directory Server」を選択します。

3. 使用している環境でSSL接続を構成している場合は、「Use secure channel (SSL)」チェック・ボックスを選択します。

4. 「Port」番号(デフォルトのSSLポートは636、デフォルトの非SSLポートは389)を入力します。

5. ドメインおよびスキーマ管理者の権限を持つ管理アカウントの「Username/ID」および「Password」を入力します。

6. 終了後、「OK」をクリックします。

6.2.4 ユーザー・オブジェクトでのデータ記憶域の有効化

スキーマを拡張したら、Universal Authentication Managerでリポジトリ内の各ユーザーのユーザー・オブジェクトに登録データを格納する必要があります。そのためには、次の手順を実行します。

注意:

Logon Managerがすでにインストールされており、リポジトリと同期している場合、このオプションを有効にする必要がないため(すでに有効になっているため)、次の項に進んでください。

1. 左側のツリーで、「Repository」ノードを右クリックし、コンテキスト・メニューから「Connect To」を選択します。

2. 「Connect to Repository」ダイアログで、次の手順を実行します。

1. 「Server Name」を入力します(この例では名前はDC01)。

2. ドロップダウン・メニューから「Microsoft Active Directory Server」を選択します。

3. 使用している環境でSSL接続を構成している場合は、「Use secure channel (SSL)」チェック・ボックスを選択します。

4. 「Port」番号(デフォルトのSSLポートは636、デフォルトの非SSLポートは389)を入力します。

5. ドメインおよびスキーマ管理者の権限を持つ管理アカウントの「Username/ID」および「Password」を入力します。

6. 終了後、「OK」をクリックします。

3. 「Repository」メニューから、「Enable Storing Credentials Under User Object」を選択します。

4. 表示されるプロンプトで、「OK」をクリックします。

5. 表示される確認ダイアログで、「OK」をクリックして終了します。

これで、データ構造が作成され、必要な権限が設定されました。この手順でリポジトリに実行される処理の詳細は、次の項を参照してください。

注意:

Universal Authentication Managerサービス・アカウントを作成したら、コマンド行ツールのDeployTool.exeを使用して、複数のエンド・ユーザー・マシン上で手動または自動で構成できます。詳細は、Oracle Enterprise Single Sign-On Suite管理者ガイドのUniversal Authentication Managerに関する説明を参照してください。

6.2.5 Universal Authentication Manager記憶域の初期化

1. スキーマの拡張に成功したら、「Repository」メニューに戻って「Initialize UAM Storage」を選択します。

2. ドロップダウン・メニューから、前に作成したサーバーを選択します。他のフィールドは自動的に入力されます。

3. 「OK」をクリックします。

4. 「Select User or Group」ウィンドウで、サービス・アカウントの名前を入力し、「Check Names」をクリックします。サービス・アカウント名は自動的に入力されます。

5. 「OK」をクリックして成功メッセージが表示されるのを待ちます。

6.2.6 Universal Authentication Managerリポジトリのデータ構造および権限の理解

前述の「Initialize UAM Storage」コマンドを起動すると、Universal Authentication Managerによってリポジトリ内で次の処理が行われます。

1. スキーマを変更して、vgoUserクラスおよびvgoConfigクラスをコンテナ・オブジェクト内に配置できるようにします。

2. 次のように、サブコンテナPoliciesおよびIndexを含むデフォルトのコンテナ構造Program Data/Passlogix/UAMを作成します。

注意:

索引およびポリシー・コンテナの内容は絶対に手動で変更しないでください。

環境で必要な場合は、コンテナに異なる名前を付けることもできますが、そのカスタム名のコンテナを指すようにすべてのUniversal Authentication Managerクライアント・インスタンスを手動で構成する必要があります。コンテナ名はデフォルトのままにすることを強くお薦めします。

3. Universal Authentication Managerサービスが索引コンテナ内のオブジェクトの読取り、作成、変更および削除を行うことができるように、索引コンテナに対する一般的な読取り、書込み、変更および削除権限(およびその親から継承した他のすべての権限)をUniversal Authentication Managerサービス・アカウントに付与します。

4. Universal Authentication Managerサービスがポリシー・コンテナ内のオブジェクトの読取りを行うことができるように、一般的な読取り権限(およびその親から継承したすべての権限)をUniversal Authentication Managerサービス・アカウントに付与します。

5. ドメイン・ルートDSEオブジェクトを更新して、ドメイン全体のユーザー・オブジェクトでvgoConfigオブジェクトおよびvGoUserオブジェクトの作成と削除を行う権限をUniversal Authentication Managerサービス・アカウントに付与します。(ユーザー・オブジェクトの場所をカスタムの場所に変更している場合、権限はルートのかわりにターゲット・コンテナで直接設定できます。)

6. ドメイン・ルートDSEオブジェクトを更新して、Universal Authentication Managerサービスがリポジトリ内での場所にかかわらずすべてのvgoConfigオブジェクトを読み取ることができるように、ドメイン全体のすべてのvgoConfigオブジェクトに対する一般的な読取り権限をUniversal Authentication Managerサービス・アカウントに付与します。

6.2.7 Universal Authentication Managerシンクロナイザの構成

これで、Universal Authentication Managerがリポジトリと同期するようにUniversal Authentication Managerを構成する準備が整いました。次の手順を実行します。

1. Oracle Enterprise Single Sign-On Administrative Consoleを起動します。

2. 左側のツリーで、「Global Agent Settings」→[TargetSettingsSet]→「Synchronization」の順に移動します。

3. Logon Managerがインストールされてリポジトリと同期していない場合、次のように現在の設定にActive Directoryシンクロナイザの構成ノードを追加します(当てはまらない場合は次の手順に進んでください)。

1. 「Synchronization」ノードを右クリックし、コンテキスト・メニューから「Manage synchronizers」を選択します。

2. 表示されるウィンドウで、「Add」をクリックします。

3. 使用可能なシンクロナイザのリストで、「Active Directory」を選択し、名前としてADEXTと入力して、「OK」をクリックします。

4. 「OK」をクリックしてダイアログを閉じます。「ADEXT」ノードが「Synchronization」ノードの下に表示されます。

4. 次のいずれかを行います。

- Logon Managerがインストールされていてリポジトリと同期している場合、「Base location(s) for configuration objects」フィールドの値は変更せずに、次の手順に進んでください。

- Logon Managerがインストールされておらず、リポジトリと同期していない場合は、「Base location(s) for configuration objects」フィールドで、チェック・ボックスを選択して「...」ボタンをクリックし、表示されるウィンドウにUniversal Authentication Managerポリシー・コンテナの完全修飾DNを入力した後に、「OK」をクリックして変更内容を保存します。

5. 「Base location(s) for UAM storage index」フィールドで、チェック・ボックスを選択して「...」ボタンをクリックし、Universal Authentication Manager索引コンテナの完全修飾DNを入力した後に、「OK」をクリックします。.

6. まだ設定していない場合、「Location to store user credentials」オプションの横にあるチェック・ボックスを選択し、ドロップダウン・リストから「Under respective directory user objects」を選択します。

7. 必要に応じて他の同期設定を構成します(各設定の詳細は、コンソールのヘルプを参照してください)。

8. エンド・ユーザー・ワークステーションに配布するために設定を.REGファイルにエクスポートします。

1. 「File」メニューから、「Export」を選択します。

2. 表示されるダイアログで、「HKLM Registry Format」をクリックします。

3. 表示される「Save」ダイアログで、適切な場所に移動して.REGファイルの名前を指定し、「Save」をクリックします。

9. Universal Authentication Managerワークステーションに.REGファイルを配布し、そのWindowsレジストリにマージします。

注意:

コンソールによって、32ビット・システムとのみ互換性を持つ.REGファイルが生成されます。64ビット・システムで.REGファイルをマージする場合、レジストリ・データをレジストリ内の正しい場所にマージするために、使用するインポート・コマンドに/reg:32スイッチをインクルードする必要があります。これを行わない場合、Universal Authentication Managerは機能しません。次に例を示します。

reg.exe import MyRegistryFile.reg /reg:32

6.2.8 管理ユーザーのためのUniversal Authentication Manager同期の構成

ユーザー・オブジェクトに資格証明を格納するために必要な権限は、ツリー・ルートで付与され、ユーザー・オブジェクトに継承されます。Universal Authentication Managerを、Administratorsなどの保護されたユーザー・グループのメンバーが使用する環境にエンタープライズ・モードでデプロイする場合、vGOUserDataオブジェクトおよびvGOSecretオブジェクトを作成および削除するために必要な権限をAdminSDHolderオブジェクトを介してUniversal Authentication Managerサービス・アカウントに付与する必要があります。

注意:

Logon Managerがすでにインストールされていて、Universal Authentication Managerが使用している同じリポジトリと同期している場合、AdminSDHolderオブジェクト自体にもこれらの権限を付与する必要があります(これは、通常はLogon Managerのデプロイ時に行われています)。この付与は、関連する管理ユーザーの権限リスト、およびAdminSDHolderオブジェクトの権限リストでSELFとして表示されます。

この明示的な権限適用がない場合、AdminSDHolderオブジェクトから制限付きの権限が自動的に継承されるため、管理ユーザーはUniversal Authentication Managerデータをリポジトリに格納できません。これは、オブジェクトのACLは、すべての保護されたグループのACLを制御して、デフォルトで権限の継承を禁止するためです。この問題の詳細は、http://support.microsoft.com/kb/817433にあるMSナレッジ・ベースの記事を参照してください。

次の保護されたユーザー・グループは、この問題による影響を受けることがわかっています。

- Enterprise Admins

- Schema Admins

- Domain Admins

- Administrators

- Account Operators

- Server Operators

- Print Operators

- Backup Operators

- Cert Publishers

この特定の問題が存在するかどうかを確認するには、次の手順を実行します。

1. ドメイン管理者としてプライマリ・ドメイン・コントローラにログインします。

2. 「Active Directoryユーザーとコンピュータ」MMCスナップインを開きます。

3. 「表示」メニューから、「拡張機能」を選択します。

4. 関連するユーザー・オブジェクトに移動し、右クリックして「プロパティ」を選択します。

5. 表示されるダイアログで、「セキュリティ」タブをクリックします。

6. 「詳細設定」をクリックします。「セキュリティの詳細設定」ダイアログが表示されます。

7. ダイアログで、次の設定を確認します。

- 「親からの継承可能なアクセス許可をこのオブジェクトとすべての子オブジェクトに伝達できるように…」チェック・ボックスの選択が解除されている。

- 手順6の図で強調表示されている権限がリストに存在しない。

前述の条件が満たされている場合、ユーザー・オブジェクトはディレクトリ・ルートから必要な権限を継承していません。

この問題を修正するには、手動でAdminSDHolderオブジェクトのACLを変更して、vGOConfigタイプおよびvGOUserDataタイプのオブジェクトを作成する権限を付与する必要があります。手順は次のとおりです。

1. ドメイン管理者としてプライマリ・ドメイン・コントローラにログインします。

2. Microsoft管理コンソールで、「Active Directoryユーザーとコンピュータ」スナップインを開きます。

3. 「表示」メニューから、「拡張機能」を選択します。

4. 「AdminSDHolder」コンテナ(cn=AdminSDHolder,cn=System,dc=<domainName>,dc=<domainSuffix>)にナビゲートします。

5. 「AdminSDHolder」コンテナを右クリックして、「プロパティ」を選択します。

6. 「プロパティ」ダイアログで、「セキュリティ」タブを選択して「詳細設定」をクリックします。

7. 「セキュリティの詳細設定」ダイアログで、「追加」をクリックします。

8. 「ユーザー、コンピューターまたはグループの選択」ダイアログで、Universal Authentication Managerサービスのアカウント名を入力して、「OK」をクリックします。.

9. 「アクセス許可エントリ」ダイアログで、次の手順を実行します。

1. 「適用先」ドロップダウン・リストから「このオブジェクトとすべての子オブジェクト」を選択します。

注意:

vGOUserDataオブジェクトの作成および削除権限が権限リストに表示されない場合、「適用先」ドロップダウン・リストからかわりとして「ユーザー オブジェクト」を選択します。同様の事例は、異なるバージョンやパッチのActive Directoryと、基礎となるオペレーティング・システム間で発生します。

2. 権限リストで、次に示す権限の「許可」チェック・ボックスを選択します。

3. 「OK」をクリックします。

10. SDプロパゲータ(SDPROP)・プロセスを起動して、ネットワーク全体に即座に変更を伝播します。SDプロパゲータ・プロセスの起動手順は、http://support.microsoft.com/kb/251343にあるMicrosoftナレッジ・ベースの記事を参照してください。

注意:

この手順で前述の権限を「このオブジェクトのみ」に適用するバージョンがあっても無視してください。これは非推奨であり、現在は前述の手順が優先します。

RunProtectAdminGroupsTaskタスクを開始することでSDプロパゲータ・プロセスを起動できます。

6.3 Microsoft AD LDS (ADAM)と同期するためのUniversal Authentication Managerの構成

注意:

この項の手順を実行する前に、次の点に注意してください。

- Universal Authentication Managerは、ローカル・モードでインストールし、リポジトリの準備と同期設定の構成が完了した後にのみ、(Oracle Enterprise Single Sign-On Suite管理者ガイドの説明に従って)エンタープライズ(同期)・モードに切り替えることをお薦めします。そうしない場合、Universal Authentication Managerのデータ構造が正しく作成されないか、権限がリポジトリ内で正しく設定されない可能性があります。

- Universal Authentication Managerをエンタープライズ・モードでデプロイする場合、リポジトリとの同期が適切に構成およびテストされるまで、ユーザーはどのログオン方法にも登録しないでください。そうしない場合、登録データが失われます。

- Microsoft Active DirectoryとMicrosoft AD LDS (ADAM)のみがリポジトリとしてサポートされます。

Universal Authentication Managerがポリシーおよび登録データをMicrosoft AD LDS (ADAM)で集中的に格納および管理できるようにするには、次の手順を実行してMicrosoft AD LDS (ADAM)インスタンスを準備し、そのリポジトリと同期するようにUniversal Authentication Managerを構成する必要があります。

- Logon Managerがすでにデプロイされている場合のリポジトリの準備

- AD LDS (ADAM)インスタンスおよびパーティションの作成

- AD LDS (ADAM)のデフォルトのネーミング・コンテキストの構成

- Universal Authentication Managerサービス・アカウントの作成

- スキーマの拡張

- Peopleコンテナの作成

- Universal Authentication Manager記憶域の初期化

- Universal Authentication Managerリポジトリのデータ構造および権限の理解

- Universal Authentication Managerシンクロナイザの構成

ユーザー・グループを割り当てる場合、次の点に注意してください。

- 使用するユーザー・グループは同じドメイン内に存在する必要があります。

- 配布グループではなくセキュリティ・グループを使用してください。

- Universal Authentication Managerは、単一のActive Directoryドメインのみをサポートします。

6.3.1 Logon Managerがすでにデプロイされている場合のリポジトリの準備

Logon Managerがすでにインストールされており、AD LDS (ADAM)ベースのリポジトリと同期している場合、Universal Authentication Managerでは、Logon Managerのリポジトリ・コンテナを共有して独自のポリシーおよび設定を格納します。このような場合、スキーマの拡張やPeopleコンテナの作成は不要です。かわりに、次の手順を実行します。

- 「Universal Authentication Manager記憶域の初期化」の手順を実行します。

- 「Universal Authentication Managerシンクロナイザの構成」の手順を実行します。

Universal Authentication Managerでは、Peopleコンテナがデフォルトの場所にある必要があります。その他の場所(AD LDS (ADAM)パーティションのルート以外の場所など)のPeopleコンテナを使用するようにLogon Managerを構成した場合は、そのコンテナをUniversal Authentication ManagerとLogon Managerで共有できないため、Universal Authentication Manager用に別個のPeopleコンテナをAD LDS (ADAM)パーティションのルートに作成する必要があります。

6.3.2 AD LDS (ADAM)インスタンスおよびパーティションの作成

まだ実行していない場合は、ディレクトリ・ベースのリポジトリでのLogon ManagerのデプロイのAD LDS (ADAM)インスタンスの作成に関する説明の手順に従って、AD LDS (ADAM)インスタンスおよびパーティションを作成してください。

6.3.3 AD LDS (ADAM)のデフォルトのネーミング・コンテキストの構成

AD LDS (ADAM)インスタンスとパーティションを作成したら、そのインスタンスのデフォルトのネーミング・コンテキストがターゲット・パーティションを指すようにして、Universal Authentication Managerがリポジトリ内のそのデータを見つけることができるようにします。

1. ADSIEditツールを起動し、ターゲットAD LDS (ADAM)インスタンスの「Configuration」コンテキストに接続します。

2. 左側のツリーで、「Configuration」→「CN=Sites」→「CN=SiteName」→「CN=InstanceName」の順に移動します。

3. インスタンス・ノードの下にある「CN=NTDS Settings」子ノードをダブルクリックします。

4. 表示されるプロパティ・ダイアログで、「msDS-DefaultNamingContext」属性を選択し、「編集」をクリックします。

5. 表示されるエディタ・ダイアログで、ターゲットAD LDS (ADAM)パーティションの完全修飾された識別名を入力し、「OK」をクリックして変更内容を保存します。

6. 「OK」をクリックして変更内容を保存し、「properties」ダイアログを閉じます。

7. Windows Services Managerの対応するサービスを再起動することで、影響を受けたAD LDS (ADAM)インスタンスを再起動します。

6.3.4 Universal Authentication Managerサービス・アカウントの作成

Universal Authentication Managerでリポジトリのデータの読取りと書込みを行うには、そのための実行権限を付与する必要があります。これを行うには、Universal Authentication Managerがそのリポジトリと相互作用するために使用するサービス・アカウントを作成します。このアカウントは、標準のドメイン・アカウント(Domain Usersのメンバー)である必要があり、その他の権限は不要です。ただし、ターゲットAD LDS (ADAM)インスタンスの「閲覧者」グループにアカウントを追加する必要があります。

1. ドメイン・コントローラとして機能しているワークステーションで、「Active Directoryユーザーとコンピュータ」を起動します。

2. 「Users」コンテナを右クリックし、「新規作成」→「ユーザー」を選択します。Userアカウントは、Domain Usersグループの通常のメンバーです。

3. ユーザーまたはグループ・アカウントの名前を入力し(この例では名前はuamservice)、「次へ」をクリックします。

5. パスワードを入力し、「パスワードを無期限にする」ボックスを選択してから、「ユーザーは次回のログオン時にパスワード変更が必要」ボックスの選択を解除します。

6. 次の手順を使用して、AD LDS (ADAM)インスタンスの「Readers」グループにUniversal Authentication Managerサービス・アカウントを追加します。

1. ADSIEditツール(Microsoft社のWebサイトから入手可能)を起動し、ターゲットAD LDS (ADAM)インスタンスのデータ・パーティションに接続します。

2. 左側のツリーでターゲット・パーティションを展開し、「CN=Roles」ノードを選択します。

3. 右側のペインで、「CN=Readers」の役割をダブルクリックします。

4. 表示される「properties」ダイアログで、メンバー属性を選択して「Edit」をクリックします。

5. 表示される属性エディタ・ダイアログで、「Windows アカウントの追加」をクリックします。

6. 表示されるダイアログで、Universal Authentication Managerサービス・アカウントの名前を入力して、「Check Names」をクリックします。

7. 名前の検証に成功したら、「OK」をクリックしてアカウント選択ダイアログを閉じます。

8. 「OK」をクリックして変更内容を保存し、「attribute editor」ダイアログを閉じます。

9. 「OK」をクリックして変更内容を保存し、「properties」ダイアログを閉じます。

6.3.5 スキーマの拡張

注意:

スキーマをすでに拡張しているかどうかがわからない場合も、そのまま次の手順を実行してください。スキーマ拡張を複数回実行しても、リポジトリやその内部のデータに問題が発生することはありません。

1. Oracle Enterprise Single Sign-On Administrative Consoleを起動します。

2. 「Repository」メニューから、「Extend Schema」を選択します。

3. 「Connect to Repository」ダイアログで、次の手順を実行します。

1. 「Server Name」を入力します。

2. ドロップダウン・メニューから「Microsoft AD LDS (ADAM)」を選択します。

3. 使用している環境でSSL接続を構成している場合は、「Use secure channel (SSL)」チェック・ボックスを選択します。

4. 「Port」番号(デフォルトのSSLポートは636、デフォルトの非SSLポートは389)を入力します。

5. ドメインおよびスキーマ管理者の権限を持つ管理アカウントの「Username/ID」および「Password」を入力します。

6. 終了後、「OK」をクリックします。

6.3.6 Peopleコンテナの作成

Universal Authentication Managerが登録データをAD LDS (ADAM)に格納できるようにするには、AD LDS (ADAM)パーティションのルートにPeopleという名前のOUを作成する必要があります。このコンテナの名前を変更したり移動したりしないでください。Universal Authentication Managerとの同期が機能しなくなります。

Logon Managerがインストールされてリポジトリと同期していて、Peopleコンテナのカスタムの場所を使用している場合でも、AD LDS (ADAM)パーティションのルートにUniversal Authentication Manager用のPeopleコンテナを作成する必要があります。

AD LDS (ADAM)インスタンスを共有する場合は、Logon ManagerおよびUniversal Authentication Manager用に別個のPeopleコンテナを保持することをお薦めします。

1. ESSO Suite Administrative Consoleで、ツリー上の「Repository」ノードを選択します。

2. 右側ペインで「Click here to connect」リンクをクリックします。コンソールに「Connect to Repository」ダイアログが表示されます。前の項の手順3で説明した各フィールドに入力し、「OK」をクリックして接続します。

3. ツリーでターゲットAD LDS (ADAM)インスタンスのルートを右クリックし、コンテキスト・メニューから「Create People Container」を選択します。

4. Peopleコンテナが、AD LDS (ADAM)インスタンスのサブツリーのルートに存在するようになったことを確認します。

6.3.7 Universal Authentication Manager記憶域の初期化

1. スキーマの拡張に成功したら、「Repository」メニューに戻って「Initialize UAM Storage」を選択します。

2. ドロップダウン・メニューから、前に作成したサーバーを選択し、「OK」をクリックします。(他のフィールドは自動的に入力されます。)

3. 「Select User or Group」ウィンドウで、サービス・アカウントの名前を入力し、「Check Names」をクリックします。サービス・アカウント名は自動的に入力されます。

4. 「OK」をクリックして成功メッセージが表示されるのを待ちます。

これで、データ構造が作成され、必要な権限が設定されました。この手順でリポジトリに実行される処理の詳細は、次の項を参照してください。

6.3.8 Universal Authentication Managerリポジトリのデータ構造および権限の理解

前述の「Initialize UAM Storage」コマンドを起動すると、Universal Authentication Managerによってリポジトリ内で次の処理が行われます。

1. スキーマを変更して、vgoUserクラスおよびvgoConfigクラスをコンテナ・オブジェクト内に配置できるようにします。

2. 次のように、サブコンテナPoliciesおよびIndexを含むデフォルトのコンテナ構造Program Data/Passlogix/UAMを作成します。

注意:

索引およびポリシー・コンテナの内容は絶対に手動で変更しないでください。

環境で必要な場合は、コンテナに異なる名前を付けることもできますが、そのカスタム名のコンテナを指すようにすべてのUniversal Authentication Managerクライアント・インスタンスを手動で構成する必要があります。コンテナ名はデフォルトのままにすることを強くお薦めします。

3. Universal Authentication Managerサービスが索引コンテナ内のオブジェクトの読取り、作成、変更および削除を行うことができるように、索引コンテナに対する一般的な読取り、書込み、変更および削除権限(およびその親から継承した他のすべての権限)をUniversal Authentication Managerサービス・アカウントに付与します。

4. Universal Authentication Managerサービスがポリシー・コンテナ内のオブジェクトの読取りを行うことができるように、一般的な読取り権限(およびその親から継承したすべての権限)をUniversal Authentication Managerサービス・アカウントに付与します。

5. AD LDS (ADAM)パーティションのルートDSEオブジェクトを更新して、AD LDS (ADAM)パーティション全体のユーザー・オブジェクトでvgoConfigオブジェクトおよびvGoUserオブジェクトの作成と削除を行う権限をUniversal Authentication Managerサービス・アカウントに付与します。(ユーザー・オブジェクトの場所をカスタムの場所に変更している場合、権限はルートのかわりにターゲット・コンテナで直接設定できます。)

6. AD LDS (ADAM)パーティションのルートDSEオブジェクトを更新して、Universal Authentication Managerサービスがリポジトリ内での場所にかかわらずすべてのvgoConfigオブジェクトを読み取ることができるように、AD LDS (ADAM)パーティション全体のすべてのvgoConfigオブジェクトに対する一般的な読取り権限をUniversal Authentication Managerサービス・アカウントに付与します。

6.3.9 Universal Authentication Managerシンクロナイザの構成

これで、Universal Authentication Managerがリポジトリと同期するようにUniversal Authentication Managerを構成する準備が整いました。次の手順を実行します。

1. Oracle Enterprise Single Sign-On Administrative Consoleを起動します。

2. 左側のツリーで、「Global Agent Settings」→[TargetSettingsSet]→「Synchronization」の順に移動します。

3. Logon Managerがインストールされてリポジトリと同期していない場合、次のように現在の設定にAD LDS (ADAM)シンクロナイザの構成ノードを追加します(当てはまらない場合は次の手順に進んでください)。

1. 「Synchronization」ノードを右クリックし、コンテキスト・メニューから「Manage synchronizers」を選択します。

2. 表示されるウィンドウで、「Add」をクリックします。

3. 使用可能なシンクロナイザのリストで、「Microsoft AD LDS (ADAM)」を選択し、名前としてADAMSyncExtと入力して、「OK」をクリックします。

4. 「OK」をクリックしてダイアログを閉じます。「ADAMSyncExt」ノードが「Synchronization」ノードの下に表示されます。

4. Logon Managerがインストールされてリポジトリと同期している場合、「Servers」、「SSL」または「Base location(s) for configuration objects」フィールドの値は変更せずに、次の手順に進んでください。Logon Managerがインストールされておらず、リポジトリと同期していない場合は、次の手順を実行します。

1. 「Servers」フィールドで、チェック・ボックスを選択します。

2. 「...」ボタンをクリックします。

3. 表示されるウィンドウで、AD LDS (ADAM)の各インスタンスの完全なアドレスおよびポートを1行ずつ、<server>:<port>の形式で入力します。

4. 「OK」をクリックします。

5. 「Base location(s) for configuration objects」フィールドで、チェック・ボックスを選択します。

6. 「...」ボタンをクリックします。

7. 表示されるウィンドウで、Universal Authentication Managerの「Policies」コンテナの完全修飾DNを入力します。

8. 「OK」をクリックします。

9. ご使用の環境でSSLを使用していない場合、「SSL」フィールドの横にあるチェック・ボックスを選択し、ドロップダウン・フィールドから「No」を選択します。ご使用の環境を最大限に保護するために、SSLの使用を強くお薦めします。

5. 「Base location(s) for UAM storage index」フィールドで、チェック・ボックスを選択して「...」ボタンをクリックし、索引コンテナの完全修飾DNを入力した後に、「OK」をクリックします。.

6. 「Prepend Domain」フィールドで、チェック・ボックスを選択し、ドロップダウン・メニューから「Yes」を選択します。

7. 必要に応じて他の同期設定を構成します(各設定の詳細は、コンソールのヘルプを参照してください)。

8. エンド・ユーザー・ワークステーションに配布するために設定を.REGファイルにエクスポートします。

1. 「File」メニューから、「Export」を選択します。

2. 表示されるダイアログで、「HKLM Registry Format」をクリックします。

3. 表示される「Save」ダイアログで、適切な場所に移動して.REGファイルの名前を指定し、「Save」をクリックします。

9. Universal Authentication Managerワークステーションに.REGファイルを配布し、そのWindowsレジストリにマージします。

注意:

コンソールによって、32ビット・システムとのみ互換性を持つ.REGファイルが生成されます。64ビット・システムで.REGファイルをマージする場合、レジストリ・データをレジストリ内の正しい場所にマージするために、使用するインポート・コマンドに/reg:32スイッチをインクルードする必要があります。これを行わない場合、Universal Authentication Managerは機能しません。次に例を示します。

reg.exe import MyRegistryFile.reg /reg:32

6.4 既存のUniversal Authentication Managerインストールのアップグレード

11.1.2.1.0より前のリリースのUniversal Authentication Managerからリリース11.1.2.2.0へのアップグレードは、サポートされません。最新リリースをインストールする前に、古いリリースのUniversal Authentication Managerを完全にアンインストールする必要があります。新しいリリースでは、以前のリリースによって格納されたすべてのリポジトリ・データが無視されるため、古いデータを削除する必要はありません。

リリース11.1.2.1.0からリリース11.1.2.2.0へのアップグレードは完全にサポートされているため、特別なアクションは必要ありません。

6.4.1 厳密なオーセンティケータを使用するLogon ManagerからUniversal Authentication Managerへの移行

Logon Managerを使用する各クライアント・ワークステーションは、ただ1つのプライマリ・ログオン方法を使用するように構成できます。Logon Managerでは、スマート・カードや近接型カードなどの厳密なオーセンティケータを含め、複数のネイティブ・プライマリ・ログオン方法がサポートされます。厳密なオーセンティケータがLogon Managerのプライマリ・ログオン方法としてデプロイおよび構成されている場合、各エンド・ユーザーは、プライマリ・ログオン方法としてUniversal Authentication Managerを使用するように変換する必要があります。

エンド・ユーザーは、「Logon Manager Agent Settings」タブの「Change Primary Logon Method」を使用して、Logon Managerのプライマリ・ログオン方法を厳密なオーセンティケータからUniversal Authentication Managerオーセンティケータに手動で変更する必要があります。

6.5 Universal Authentication Managerクライアント側ソフトウェアのインストール

注意:

Universal Authentication Managerをインストールする前に、ハードウェア・デバイス、ミドルウェアおよびドライバをすべてインストールすることをお薦めします。

ロックアウトを避けるため、Oracle Enterprise Single Sign-On Administrative Consoleと同じワークステーションにUniversal Authentication Managerをインストールしないことをお薦めします。Oracle Enterprise Single Sign-On Administrative Consoleを実行している、Universal Authentication Managerのない1つ以上のワークステーションが存在する必要があります。

Universal Authentication Managerをインストールするユーザーは、ローカル管理者権限が必要です。

インストール中に、クライアント・モード(ローカルまたはエンタープライズ)を選択するように求められます。Universal Authentication Managerのクライアント・モードの詳細は、Enterprise Single Sign-On Suite管理者ガイドのUniversal Authentication Managerに関する説明を参照してください。

Universal Authentication ManagerをWindows 7にインストールすると、Microsoft WindowsパスワードおよびPKIのスマート・カード資格証明プロバイダは無効になり、かわりにUniversal Authentication Manager資格証明プロバイダが有効になります。

自動(サイレント)インストールを実行する場合は、「自動(サイレント)インストールの実行」を参照してください。

Universal Authentication Managerをインストールして構成するには、次の手順を実行します。

1. すべてのプログラムを終了します。

2. 使用しているプラットフォーム用のインストーラを起動します。

注意:

英語以外の言語でインストールし、希望する言語でインストーラを起動する場合、次のコマンドを実行します。

msiexec /I <packagename>.msi TRANSFORMS=<language>.mst

ここで、<packagename>はUniversal Authentication ManagerのインストーラMSIパッケージの名前で、<language>.mstは対応する言語変換ファイル(インストーラ・アーカイブに含まれます)の名前です。

3. 「Welcome」パネルで「Next」をクリックします。

4. 「Program Features」画面で、インストールする機能の選択が求められます。使用する機能を選択するには、機能の隣にある赤い[x]をクリックし、「This feature will be installed on local hard drive」をクリックします。インストールを継続するには、「Logon Method」を1つ以上選択する必要があります。使用可能なオプションは、次のとおりです。

- Application: コア・アプリケーション。

- Logon Methods: サポートされている認証方法。

- ESSO-UAM Authenticator for ESSO-LM: Logon ManagerとUniversal Authentication Managerの統合を可能にするLogon Manager用の認証プラグイン。

- Languages: ユーザー・インタフェースを選択した言語にローカライズします。

宛先フォルダを変更するには、「Change」をクリックして目的の場所に移動します。

5. 適切なクライアント・モードを選択します。(クライアント・モードの詳細は、Enterprise Single Sign-On Suite管理者ガイドのUniversal Authentication Managerに関する説明を参照してください。)

- Local Client Mode。Universal Authentication Managerはローカルに実行され、リポジトリと同期しません。

- Enterprise Client Mode。Universal Authentication Managerは、エンタープライズ環境で実行され、リポジトリと同期します。

6. インストーラによってサード・パーティのGINAが検出されると、現在のGINAを保持するか、Universal Authentication Manager GINAを登録するかを選択するように求められます。GINAをチェーンする場合、構成が安定していることをテスト環境で確認することをお薦めします。詳細は、参照してください。

7. 「Summary」画面で「Install」をクリックします。

8. 「Completed」画面が表示されたら、「Finish」をクリックします。

9. インストールの完了後、マシンの再起動を求められることがあります。

- クライアントをローカル・モードでインストールした場合、ここで「Yes」をクリックします。

- クライアントをエンタープライズ・モードでインストールした場合は、「No」をクリックして「Universal Authentication Managerサービス・アカウントの構成」に進み、必要なサービス・アカウントを構成します。

6.6 自動(サイレント)インストールの実行

Oracle Enterprise Single Sign-On製品を自動(サイレント)モードで正常にインストールするには、インストーラの実行前にWindows Management Instrumentation (WMI)サービスが実行されている必要があります。実行されているかどうかを確認し、実行されていない場合に開始するには、「自動(サイレント)インストールのための前提条件」を参照してください。

6.6.1 コマンド行の構文

Universal Authentication Managerでは、標準のMSIEXEC.exeコマンド行パラメータがサポートされます。自動インストールを実行するコマンド行では、次のシーケンスが使用されます。

MSIEXEC.exe [Install Flag] [MSI Installer Filename] [Custom Properties] [User Interface Level Flag]

各パラメータの意味は次のとおりです。

Install Flag: /i =インストール、/x =アンインストール、/a =管理インストール

Filename: インストールするMSIパッケージの名前

6.6.2 Universal Authentication Managerのカスタム・インストーラ・プロパティ

カスタム・インストーラには、次のオプションを構成する機能があります。

- ローカル(デフォルト)またはエンタープライズ・モードを選択するためのオプション

- Universal Authentication Managerをプライマリ・ログオン方法として使用するようにLogon Managerを構成するためのオプション

- 使用するGINAを選択する機能

- インストールするカスタム機能を構成する機能

- 適切な言語でインストールする機能

これらのインストーラ・オプションを構成するには、次のカスタム・パラメータを使用します。

- CLIENTMODE

- 0 = ローカル・クライアント・モード(デフォルト)

- 1 = エンタープライズ・クライアント・モード

- GINACHOICE (Windows XPのみ)

- 0 = 現在のGINAを保持(デフォルト)

- 1 = Universal Authentication Manager GINAを登録

- ADDLOCAL

- "Application" (必須)

- "SmartCard"

- "ProximityCard"

- "Fingerprint"

- "ChallengeQuestions"

- "UAMAuth"

インストールする機能を構成するには、標準のADDLOCALコマンド行オプションを使用します。

注意:

ADDLOCALプロパティをORCAと組み合せて使用しないでください(これはコマンド行専用です)。

インストール可能な言語パック(英語は常にインストール対象)

- English

- Brazilian Portuguese

- French

- German

- Italian

- Japanese

- Korean

- Simplified Chinese

- Spanish

- Czech

- Finnish

- Dutch

- Polish

- Portuguese

- Traditional Chinese

- Danish

- Greek

- Hungarian

- Norwegian

- Romanian

- Russian

- Slovak

- Swedish

- Thai

- Turkish

6.6.3 例

Universal Authentication Managerを、スマート・カードおよび近接型カードに対応するエンタープライズ・モードでUniversal Authentication Manager GINAを使用してドイツ語、ノルウェー語およびトルコ語の言語パック付きでインストールするには、次のように入力します。。

msiexec /i "ESSO-UAM.msi" ADDLOCAL ="Application,SmartCard,ProximityCard,German,Norwegian,Turkish" CLIENTMODE=1 GINACHOICE=1

Universal Authentication Managerを、スマート・カードのみに対応するローカル・クライアント・モードでデフォルトのGINAを使用してインストールするには、次のように入力します。

msiexec /qn /i "ESSO-UAM.msi" ADDLOCAL ="Application,SmartCard" CLIENTMODE=0 GINACHOICE=0

Universal Authentication Managerを、指紋のみに対応するローカル・クライアント・モードでインストールするには、次のように入力します。

msiexec /qn /i "ESSO-UAM.msi" ADDLOCAL ="Application,Fingerprint" CLIENTMODE=0

Universal Authentication Managerを、チャレンジ質問、近接型カード、スマート・カードおよび指紋に対応するエンタープライズ・クライアント・モードでデフォルトのGINAを使用してインストールするには、次のように入力します。

msiexec /i "ESSO-UAM.msi" ADDLOCAL="Application,ChallengeQuestions,ProximityCard,SmartCard,Fingerprint" CLIENTMODE=1 GINACHOICE=0

6.7 Universal Authentication Managerのインストールの完了

Universal Authentication Managerを正常に構成するには、次に示す作業を完了する必要があります。

- Universal Authentication Managerサービス・アカウントの構成

- エンタープライズ・モードのユーザーの初回ログオン

- 適切なGINAライブラリの選択(Windows XPのみ)

- 互換性のないGINAの使用からのリカバリ(Windows XPのみ)

6.7.1 Universal Authentication Managerサービス・アカウントの構成

エンタープライズ・モードでクライアントを実行する場合、この項の手順に従って、エンタープライズ・リポジトリと同期できるように各Universal Authentication Managerクライアントを構成する必要があります。

注意:

この項の一部の手順は、1回のみ実行する必要があります。その他の手順は、Universal Authentication Managerをインストールまたはアップグレードするたびに実行する必要があります。

6.7.1.1 手順1: サービス・アカウントへのローカル管理者権限の付与

Universal Authentication Managerサービス・アカウントは、各クライアント・システムのローカル管理者である必要があります。この手順は、各クライアントに対して1回のみ、クライアントのインストール直後に実行する必要があります。これらの手順は、システムの再起動の前または後に実行できます。Universal Authentication Managerサービス・アカウントを各ワークステーションのローカルのAdministratorsグループに追加できます。次の手順を実行します。

1. 「スタート」→「ファイル名を指定して実行」の順にクリックし、compmgmt.mscと入力して「OK」をクリックします。「コンピュータの管理」コンソールが表示されます。

2. 「システム ツール」を展開し、次に「ローカル ユーザーとグループ」を展開して「グループ」を選択します。

3. 右側のペインで、「Administrators」を右クリックして「グループに追加」を選択します。

4. 「追加」をクリックします。作成したUniversal Authentication Managerサービス・アカウントのユーザー名を入力し、「OK」をクリックします。

6.7.1.2 手順2: サービスの構成

Universal Authentication Manager認証サービスを、Universal Authentication Managerサービス・アカウントの下で実行し、「Log On As Service」ローカル権限をアカウントに自動的に付与するように構成する必要があります。この手順は、Universal Authentication Managerのインストール後に毎回実行する必要があります。次の手順を実行します。

1. 「スタート」→「ファイル名を指定して実行」の順にクリックし、services.mscと入力して「OK」をクリックします。「サービス」コンソールが表示されます。

2. 「ESSO-UAM Authentication Service」をダブルクリックします。

3. 表示される「プロパティ」ダイアログで、「ログオン」タブを選択し、次に「アカウント」をクリックします。Universal Authentication Managerサービス・アカウントの名前を「アカウント」フィールドに入力し、パスワードを入力して確認します。

4. 「適用」をクリックします。この手順の最初の完了時に、「サービスとしてログオン」権限が付与されたというメッセージが表示されます。

6.7.1.3 手順3: サービスの再起動

サービスを再起動して、新しい設定が機能しており、ESSO-UAM認証サービスを開始できることを確認します。サービスを開始できない場合、Local Systemに復帰し、サービスを再起動して設定の確認と修正を行い、再試行できます。

サービスを再起動するには、サービスを右クリックして「再起動」をクリックします。

注意:

サービスを停止状態のままにしないでください。サービスが停止状態のままだと、ユーザーがログオンできない可能性があります。

6.7.1.4 Universal Authentication Managerをアンインストールした後の変更の復帰

これらの手順を元に戻してクリーン・システムに復帰するには、次の手順を実行します。

1. Universal Authentication Managerをアンインストールするか、ESSO-UAM認証サービスを再度Local Systemに設定して再起動します。

2. 「スタート」→「ファイル名を指定して実行」の順にクリックし、compmgmt.mscと入力して「OK」をクリックします。「コンピュータの管理」コンソールが表示されます。

3. 「システム ツール」を展開し、次に「ローカル ユーザーとグループ」を展開して「グループ」を選択します。

4. 右側のペインで、「Administrators」を右クリックして「グループに追加」を選択します。

5. Universal Authentication Managerサービス・アカウントを選択して、「削除」をクリックします。

6. 「スタート」→「ファイル名を指定して実行」の順にクリックし、secpol.mscと入力して「OK」をクリックします。「ローカル セキュリティ ポリシー」コンソールが表示されます。

7. Universal Authentication Managerサービス・アカウントをダブルクリックします。

8. 表示される「プロパティ」ダイアログで、「ローカル ポリシー」を展開し、「ユーザー権利の割り当て」を展開します。

9. 「サービスとしてログオン」ポリシーをダブルクリックします。

10. Universal Authentication Managerサービス・アカウントを選択して「削除」をクリックします。

6.7.2 エンタープライズ・モードのユーザーの初回ログオン

エンタープライズ・モードのユーザーには、初回ログオンを接続モードで実行するように要求することをお薦めします。ワークステーションがActive Directoryドメイン・コントローラに接続されていない場合、Windowsでは切断中はユーザー名を解決できないため、ユーザーはログオンできますが登録はできません。

ユーザーが切断モードで初回ログオンを実行すると、クライアント・アプリケーションへのアクセス試行時に「You cannot enroll in Universal Authentication Manager until you log on to Windows with the computer connected to the Windows network.」というメッセージが表示されることがあります。

6.7.3 適切なGINAライブラリの選択(Windows XPのみ)

Windows XPシステムでは、Universal Authentication Manager GINAは、自動的にLogon Manager/Password Reset GINAおよびMicrosoft GINAとチェーンします。

インストール中またはメンテナンスの実行時に、Universal Authentication Managerインストーラは、次のロジックに従ってGINAチェーンを解決します。

- 現在のGINAがMSGINAの場合、Universal Authentication Managerは自動的にそれにチェーンします。

- 現在のGINAがSSOGINAの場合(Logon ManagerおよびPassword Resetによって使用されます)、Universal Authentication Managerは、SSOGINAを構成してUAMGINAにチェーンし、その後UAMGINAはMSGINAにチェーンします。

- サード・パーティ製品によってインストールされた不明なGINAがインストーラで検出されると、「Third Party GINA Detected」画面が表示され、管理者は、既存のGINA構成を保持するか(デフォルト)、Universal Authentication Managerによる登録を試行してサード・パーティのGINAにチェーンするかを選択するように求められます。

注意:

サード・パーティのGINAを使用すると、Universal Authentication Manager GINAの機能はその特定のGINAに応じて様々な程度で制限を受けます。サード・パーティのGINAは、Universal Authentication Manager GINAに置き換えることをお薦めします。

Universal Authentication Manager GINAをサポートされないGINAにチェーンすると、リカバリ不可能なエラーが発生する可能性があります。サポートされないGINAへのチェーンを試みる場合、必ずそれが機能することを事前にテスト環境で試してください。

6.7.4 互換性のないGINAの使用からのリカバリ(Windows XPのみ)

Windows XPシステムでは、Universal Authentication ManagerのインストーラによってサポートされないGINAが検出されると、次のオプションが示されます。

- 現在のGINAを保持

- Universal Authentication Manager GINAを登録

Universal Authentication Manager GINAを登録する場合、Universal Authentication Managerは、UAMGINAを登録してそれをサポートされないGINAにチェーンするように試みます。サード・パーティのGINAがUAMGINAと互換性がない場合、再起動時にログオンできなくなる可能性があります。ワークステーションの制御を取り戻すには、次の手順を実行して手動でレジストリを変更します。

1. ワークステーションを再起動し、セーフ・モードでブートしてローカル管理者としてログオンします。

注意:

セーフ・モードとネットワークまたはセーフ・モードとコマンド行を使用して再起動しないでください。異なるセーフ・モードによるワークステーションの再起動の詳細は、Microsoft社のドキュメントを参照してください。

2. Windowsのレジストリ・エディタを起動します。

3. 使用するGINA構成を次のリストから選択します。リカバリ後にUniversal Authentication Managerをアンインストールする予定の場合、OrigGinaNameエントリを削除することで、GinaDLLレジストリ・エントリの予期しない変更を防止できます。
標準のWindowsログオンをリストアするには、次の手順を実行します。

1. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogonに移動してGinaDLLレジストリ・エントリを削除します。

2. 再起動します。

Universal Authentication Manager GINAにのみ対応するように構成するには、次の手順を実行します。

1. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogonに移動して、GinaDLLレジストリ・エントリがUamGina.dllに設定されていることを確認します。

2. HKEY_LOCAL_MACHINE\SOFTWARE\Passlogix\UAM\Ginaに移動して、すべてのChainToGinaNameレジストリ・エントリを削除します。

3. 再起動します。

以前に構成されていたサード・パーティのGINAをリストアするには、次の手順を実行します。

1. HKEY_LOCAL_MACHINE\SOFTWARE\Passlogix\UAM\Ginaに移動して、OrigGinaNameレジストリ・エントリの値を
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\
CurrentVersion\Winlogon\GinaDLLにコピーするか、GinaDLLをサード・パーティのGINAライブラリの名前に設定します。

2. 再起動します。

7 Anywhereのインストール

この項では、Anywhereをインストールするために必要な手順について説明します。内容は次のとおりです:

- Anywhereをインストールするための前提条件

- 自動(サイレント)インストールのための前提条件

- Anywhereコンソールのインストール

Anywhereをインストールする前に、「付録A: Anywhereを通じたオフライン使用のためのOracle Enterprise Single Sign-On Suite製品のデプロイ」を読んでください。

7.1 Anywhereをインストールするための前提条件

Anywhereをインストールする前に、この項にリストされている前提条件が満たされていることを確認してください。

注意:

インストールに影響する可能性のある最新の要件または変更について確認するには、最新のリリース・ノートを参照してください。

7.1.1 Anywhereコンソールをインストールするための前提条件

注意:

Windows XPにインストールする場合、Microsoft社から最新のルート証明書更新をインストールしないと、インストールに失敗します。詳細および手順については、http://support.microsoft.com/kb/931125にあるMicrosoftナレッジ・ベースの記事を参照してください。

- Anywhereは、Anywhereデプロイメント・パッケージの作成元となる他のOracle製品の構成を読み取ります。Anywhereをインストールする前に、デプロイする予定の製品をインストールしてください。これらの製品のインストールおよびセットアップの手順は、それぞれのインストールおよびセットアップ・ガイドに従ってください。デプロイメント・パッケージには、Logon Managerを含める必要があり、状況に応じてOracle Enterprise Single Sign-On Provisioning Gateway (Provisioning Gateway)を含めます。

- これらの製品をクリーン・ワークステーションにインストールします。Provisioning Gatewayをデプロイする場合、その管理コンソールは別のワークステーションにインストールします。

注意:

Visual C++ランタイム・ライブラリおよび.NET 2.0 Frameworkは、Anywhereを実行するための前提条件です。インストール・パッケージには、Visual C++ランタイム・ライブラリが含まれますが、ユーザーが.NET 2.0 Frameworkを使用できるようにする必要があります。ソフトウェアおよびハードウェア要件の完全なリストは、Oracle Enterprise Single Sign-On Suiteリリース・ノートを参照してください。

- エンド・ユーザーの操作内容に応じてエージェントを構成します。エンド・ユーザーは、インストールを変更できません。他のユーザーで別のパッケージをインストールする場合、各インストールに別々のデプロイメント・パッケージを作成します。

- Anywhereに関連付けられたXMLファイルには、次の2つのタイプがあります。

- Anywhere構成XML。アプリケーション自体を構成します。このファイルには、アセンブリの依存性ファイルとコンポーネント・ファイル、必要な権限、および更新の作成時にAnywhereがそれらを配置する場所が含まれます。

- デプロイメント構成XML。作成されるAnywhereデプロイメントを構成します。このファイルには、アプリケーションXMLのターゲットの場所、エージェントが実行するアプリケーションのバージョン、およびAnywhereが更新を確認する場所(Webページまたはネットワーク・ファイル共有)が含まれます。

7.2 自動(サイレント)インストールのための前提条件

Anywhereを自動(サイレント)モードで正常にインストールするには、インストーラの実行前にWindows Management Instrumentation (WMI)サービスが実行されている必要があります。

WMIサービスが実行されているかどうかを確認し、必要に応じて開始するには、各ターゲット・マシンで次の手順を実行します。

1. システム管理コンソールを起動します。

2. 「サービス」スナップインを開きます。

3. 「Windows Management Instrumentation」サービスに移動して、その状態と開始モードを確認します。

状態に応じて、次のいずれかの手順を実行します。

- 状態が「開始」の場合はWMIが実行されているため、次の項に進みます。

- 状態が空白の場合、サービスの起動タイプを確認して次のように開始します。

1. サービスをダブルクリックします。

2. 表示されるプロパティ・ボックスで、環境に合わせてスタートアップの種類を「手動」または「自動」に設定し、「適用」をクリックします。

3. 「開始」をクリックします。状態が「開始」に変わります。

4. 「OK」をクリックして、サービスのプロパティ・ダイアログ・ボックスを閉じます。

7.3 Anywhereコンソールのインストール

Anywhereコンソールのインストールに進む前に、「Anywhereコンソールをインストールするための前提条件」を参照してください。

Anywhereコンソールをインストールするには、次の手順を実行します。

1. ESSO-Anywhere Console.msiインストーラ・ファイルを起動します。

2. 「Complete」設定を選択します。Anywhereでは、セットアップのカスタマイズは必要ありません。「Custom」オプションは、デフォルト以外のディレクトリを指定する場合にのみ選択します。「Next」をクリックします。

3. プロンプトで「Install」をクリックします。

4. インストールが完了したら、「Finish」をクリックします。

デプロイメント・パッケージの作成手順は、Oracle Enterprise Single Sign-On Suite管理者ガイドを参照してください。

8 Oracle Enterprise Single Sign-On Suiteのインストールのトラブルシューティング

この項では、Oracle Enterprise Single Sign-On Suiteの最も一般的なインストールの問題とその解決策について説明します。

8.1 Windows Installerエラー1720

いずれかのOracle Enterprise Single Sign-On Suiteコンポーネント・ソフトウェアのインストール中にエラー1720が発生した場合、現在ログオンしているユーザーに、そのマシンにソフトウェアをインストールするための権限が不足しています。管理者権限を持つユーザーとしてマシンにログオンするか、組織のITサポート担当に連絡する必要があります。

8.2 Provisioning Gatewayのインストールのトラブルシューティング

次に、Provisioning Gatewayのインストール中に発生する可能性のある最も一般的な問題とその解決策を示します。

8.2.1 Provisioning Gatewayでファイル同期がサポートされない

Provisioning Gatewayは、ファイル・シンクロナイザとともにデプロイされていないと、正しく動作しません。

エージェントが、そのユーザー・データをネットワーク・ドライブ、FTPサーバー、NFS共有またはローカル・ディスク・ドライブ上のフラット・ファイルとして格納するように構成されています。Provisioning Gatewayは、個々のユーザー・アカウントを区別してプロビジョニングするためにディレクトリを必要とするため、このシナリオでは動作しません。

8.2.2 複数のロケータでロケータ・サイトごとにEntlistを要求される

2人のユーザーが異なるコンテナに格納される場合、プロビジョニングの動作がクライアントにまで及ぶには、一致するアプリケーション構成リスト(entlist)がロケータ・サイトごとに存在する必要があります。一致するentlistは、ユーザー資格証明を格納する両方のコンテナに存在する必要があります。

8.2.3 異なるサーバーでのActive DirectoryまたはAD LDS (ADAM)およびIIS Webサービスの使用

IISとActive Directory(またはAD LDS (ADAM)インスタンス)が異なるコンピュータ上に存在する場合、Active DirectoryまたはAD LDS (ADAM)(またはその信頼できるドメイン)と同じドメイン内に存在し、ディレクトリに対する読取り/書込みアクセス権が付与されているユーザー・アカウントをIIS Webサービスに提供する必要があります。

8.2.4 インターネット・セキュリティ設定(WindowsドメインおよびCitrix MetaFrame®ユーザー)

Windowsドメイン・ユーザーおよびCitrix MetaFrameユーザーがProvisioning Gatewayにアクセスするには、Provisioning Gateway Webサービスをワークステーションの「ローカル イントラネット」ゾーンに追加する必要があります。

8.2.5 複数のOracle Internet Directory (OID)サーバーを使用したProvisioning Gatewayのデプロイ

アクティブ/アクティブ・トポロジ(すべてのサーバーがアクティブなトポロジ)でロード・バランシングされた複数のOracle Internet Directory (OID)サーバーを使用してProvisioning Gatewayをデプロイする場合、Provisioning Gatewayは、セッションに複数のサーバーが含まれるためにクライアント/サーバー・セッションの状態を解決できません。そのため、Provisioning Gatewayの動作が不安定になります。この問題を回避するには、次のいずれかの手順を実行します。

- 単純なフェイルオーバー・サポートでは、アクティブ/スタンバイ・トポロジを使用してデプロイメントをロード・バランシングしてください。この構成では、どの時点においても1つのOIDサーバーのみがProvisioning Gatewayクライアントからの接続を処理します。レプリケーションを通じてアクティブ・サーバーと同期しているバックアップ・サーバーが、アクティブ・サーバーに障害が発生した場合に引き継ぐ準備をしています。障害の発生時に障害サーバーからいずれかのバックアップ・サーバーに接続を自動的に再ルーティングするするようにネットワークを構成する必要があります。

- (推奨) Oracle Real Application Cluster (RAC)テクノロジを使用してOIDサーバー・クラスタを作成します。クラスタは、Provisioning Gatewayクライアントには単一のサーバーとして認識されますが、完全にロード・バランシングされたデプロイメントのパフォーマンスおよび高可用性が提供されます。サーバーの障害時も操作は中断せず、サーバーは即座に置き換えられます。また、サーバーはいつでも追加することができ、迅速で容易なスケーラビリティが実現します。

8.3 Password Resetのインストールのトラブルシューティング

この項では、最も一般的なPassword Resetのインストールの問題のトラブルシューティング方法について説明します。

8.3.1 /vGOSelfServiceReset/ManagementClientアプリケーションでのサーバー・エラー

新しくインストールしたオペレーティング・システムが稼働するコンピュータに.NET 2.0をインストールする場合、Network Serviceアカウントに読取り/書込みアクセス権を付与する必要があります(付与しないとPassword Reset 7.0管理コンソールへのアクセス時にサーバー・エラーが発生します)。

サーバー・エラーを回避するため、次のフォルダに対する読取り/書込みアクセス権をNetwork Serviceアカウントに付与してください。

C:\Windows\Microsoft.NET\Framework\v2.0.50727\Temporary ASP.NET Files

これは、Password Reset固有の問題ではありません。構成が正しく設定されていない場合、すべてのASP.NETアプリケーションでこのエラーが発生します。

8.3.2 グループ・セキュリティ・ポリシー: パスワード履歴設定の増加が必要

Password Resetでは、Windows XPのグループ・セキュリティ・ポリシーのパスワード履歴設定を使用します。パスワード履歴を記録する設定に加え、1つ前のパスワードを許可する必要があります。たとえば、設定が3の場合(ユーザーの最後の3つの古いパスワードが再利用されないことが保証されます)、Password Resetによってこのうちの1つが使用されるため、実際の設定は2になります。最適なセキュリティを確保するため、パスワード履歴を記録する設定を増加することをお薦めします。

9 Oracle Enterprise Single Sign-On Suiteコンポーネントのアンインストール

1つ以上のOracle Enterprise Single Sign-On Suiteコンポーネントをアンインストールするには、次の手順を実行します。

1. 「スタート」メニューから、「コントロール パネル」を開きます。

2. 使用しているオペレーティング・システムに応じて次の操作を実行します。

- 「プログラムの追加と削除」を開きます。

- 「プログラムと機能」を開きます。

3. インストールされているソフトウェアのリストで、目的のコンポーネントを選択して「削除」または「アンインストール」をクリックします。

4. プログラムを本当に削除するかどうかを尋ねるメッセージを確認します。

5. 追加のプロンプトに従ってアンインストール・プロセスを完了します。

6. アンインストールする追加コンポーネントごとに、手順3から5を繰り返します。

10 付録A: Anywhereを通じたオフライン使用のためのOracle Enterprise Single Sign-On Suite製品のデプロイ

Anywhereは、Anywhereデプロイメント・パッケージの作成元となる他のOracle製品の構成を読み取ります。

Anywhereが読み取る製品構成ファイルを作成するには、次の手順を実行します。

1. 「Anywhereをインストールするための前提条件」の情報を慎重に確認します。

2. Oracle Enterprise Single Sign-On Administrative Consoleをインストールします。Oracle Enterprise Single Sign-On Administrative Consoleの構成方法の詳細は、Oracle Enterprise Single Sign-On Administrative Consoleのヘルプを参照してください。

3. Logon Managerエージェントをインストールします。

4. 必要に応じて追加のOracleコンポーネントをインストールします。詳細は、エージェントのインストールおよび設定に関する個別の項を参照してください。

5. 必要に応じてLogon ManagerエージェントおよびProvisioning Gatewayエージェントを適切に構成します。詳細は、Oracle Enterprise Single Sign-On Suite管理者ガイドおよびエージェントのインストールおよび設定に関する説明を参照してください。

6. 構成を完了したら、「Global Agent Settings」→「Live」→「Write to Live HKLM」の順に選択します。

7. Anywhereデプロイメントを作成する場合、ライブHKLM設定を使用するか、エクスポートされたレジストリ・ファイルを使用するかを選択できます。レジストリ・ファイルを使用する場合、構成済のグローバル・エージェント設定のセットを選択し、右クリックして.REGファイルにエクスポートします。次の図は、サンプル構成を示しています。

注意:

レジストリ設定は、パッケージに含める目的でエクスポートする前に、十分にテストすることをお薦めします。

デジタル証明書を使用してパッケージに署名する場合、http://msdn2.microsoft.com/en-us/library/ms819929.aspxにあるMSDNの記事のX.509証明書を生成するための手順に従ってください。

11 付録B: 一括デプロイメントのためのOracle Enterprise Single Sign-On Suiteのパッケージ化

Oracle Enterprise Single Sign-On Suiteを一括デプロイする最も簡単な方法は、カスタマイズしたMSIパッケージを作成し、任意のデプロイメント・ツールを使用してそれをエンド・ユーザー・マシンに配布することです。

本番用に構成およびテストされたエンド・ユーザー・マシンは、そこからターゲットのエージェント構成を導出してパッケージに含めることができる構成マスターとして機能します。次に、必要な手順の概要を示します。手順の詳細は、このガイドで後述します。

インストール可能なコンポーネントについては、「MSIパッケージ・コンポーネント」を参照してください。

11.1 パッケージ化プロセスの概要

1. デプロイするOracle Enterprise Single Sign-On Suiteコンポーネント用の最新のインストーラを取得します。

2. これの最新バージョンおよび次のドキュメントを取得します。

- ディレクトリ・ベースのリポジトリでのLogon Managerのデプロイ

- Oracle Enterprise Single Sign-On Suite管理者ガイド

3. 自動(サイレント)インストールを実行する場合、「自動(サイレント)インストールのための前提条件」の手順を実行します。

4. マスター・マシンにLogon ManagerエージェントおよびOracle Enterprise Single Sign-On Administrative Consoleをインストールします。

5. コンソールを使用してLogon Managerの設定を構成します。開始する前に、必ず前述のLogon Managerベスト・プラクティスのガイドをよく確認し、理解しておきます。

6. Oracle Enterprise Single Sign-On Administrative Consoleを使用してカスタムMSIパッケージを生成します。

1. エンド・ユーザー・マシンにインストールするLogon Managerコンポーネントを選択します。(たとえば、環境で単一のプライマリ・ログオン方法を必要とする場合、目的のオーセンティケータ以外をすべて除外できます。)

2. 手順4で構成したグローバルLogon Manager設定のカスタマイズ済のセットを選択します。

3. MSIの最終パッケージを生成します。このパッケージには、手順6aで選択したコンポーネントと、手順4の構成設定が含まれます。

4. パッケージをマシンのパイロット・グループにデプロイしてテストします。問題が発生した場合は識別して修正します。必要に応じて解決策をドキュメント化します。

5. パイロット・デプロイメントに成功したら、任意のサード・パーティ・ツールを使用してエンタープライズ全体にMSIパッケージをデプロイします。

11.2 カスタマイズしたエージェント・インストール・パッケージの作成

1. マスター・マシンの作業ディレクトリにLogon ManagerエージェントのベースMSIパッケージを配置します。

2. Oracle Enterprise Single Sign-On Administrative Consoleを起動します。

3. グローバル・エージェント設定の適切なセットを作成および構成します。

1. 左側のペインのツリーで、「Global Agent Settings」ノードを右クリックして「Import」→「From Live HKLM」を選択します。

2. 「Live」設定のセットがツリーに表示されたら、右クリックしてコンテキスト・メニューから「Rename」を選択し、セットにわかりやすい名前を付けて[Enter]を押します。

3. 必要に応じてLogon Managerを構成します。各設定の詳細は、Oracle Enterprise Single Sign-On Suite管理者ガイドを参照してください。

4. エンド・ユーザー・マシンへのデプロイメント用にカスタマイズしたMSIパッケージを作成します。

1. 「Tools」メニューから「Generate Customized MSI」を選択します。

2. 表示される「Logon Manager MSI Generator」ウィザードで、「Browse」をクリックしてLogon ManagerエージェントのベースMSIパッケージに移動し、「Next」をクリックします。

3. 「Feature Selection」画面で、パッケージに含めるLogon Managerコンポーネントを選択します。各カテゴリ・ノードを展開して適切なコンポーネントを見つけ、目的の各コンポーネントの横にあるチェック・ボックスを選択します。終了したら、「次へ」をクリックします。

4. 「New MSI Generation」画面で、手順3で作成したグローバル・エージェント設定のセットを「Global Agent Settings」ドロップダウン・リストから選択します。

5. 「Browse」をクリックして、カスタマイズしたMSIパッケージのターゲット・パスおよびファイル名を指定します。

6. 「Generate」をクリックします。

7. 「Logon Manager MSI Generator」ウィザードを閉じます。

8. 将来の参照用にパッケージ設定をXMLファイルに保存します。「File」メニューから「Save」を選択し、わかりやすいファイル名を入力して「Save」をクリックします。

11.3 パイロット・デプロイメントでのカスタマイズしたパッケージのテスト

カスタムMSIパッケージを生成したら、1つ以上のパイロット・マシンにインストールしてテストします。パッケージは必ずクリーン・マシン、つまり何も含まないマシンにインストールします。

Logon Manager関連のファイルまたはレジストリ・エントリ。同じマシンを使用して複数のパッケージをテストする場合、新しいパッケージをインストールする前に、古い設定やファイルが残らないように削除処理を行う必要があります(インストーラによって既存のデータが検出されると、通常のインストールではなくアップグレードが実行されるため、テスト中に間違った問題や間違った判断が発生します)。

パイロット・マシンの削除処理を行うには、次の手順を実行します。

1. Logon Managerのインストール・ディレクトリおよびその内容を削除します。

- 32ビット・システム: \Program Files\Passlogix

- 64ビット・システム: \Program Files (x86)\Passlogix

2. Logon Managerのユーザー・データ・ディレクトリを削除します。

- Windows XP: \Documents and Settings\<user>\Application Data\Passlogix

- Windows 7: \Users\<user>\AppData\Roaming\Passlogix

3. 32ビット・システムのみ: 次のレジストリ・キーおよびその子を削除します。

- HKEY_CURRENT_USER\Software\Passlogix

- HKEY_LOCAL_MACHINE\Software\Passlogix

4. 64ビット・システムのみ: 次のレジストリ・キーおよびその子を削除します。

- HKEY_CURRENT_USER\Software\Passlogix

- HKEY_LOCAL_MACHINE\Software\Wow6432Node\Passlogix

パッケージをテストする場合、デプロイメントおよび構成のすべての問題を調査してください(選択したグローバル・エージェント設定、管理オーバーライド、中央リポジトリとの同期、アプリケーションへのレスポンスなど、すべての範囲のステージング・テストを実行できるように、専用のテスト環境を用意することを強くお薦めします)。テストの最後の項目では、パイロット・テンプレートのセットを作成し、それらを選択したアプリケーションのセットに対してテストする必要があります。これによって、テストをしていなければ本番環境で発生していた(解決に非常にコストがかかった)であろうアプリケーション・レスポンスの問題を特定して修正できます。

パッケージを完全にテストして検証したら、デプロイメント・ツール(Microsoft Systems Management Serverなど)を使用してLogon Managerをエンタープライズ全体にデプロイします。

12 付録C: Oracle Enterprise Single Sign-On Suiteの構成リファレンス

この項では、Oracle Enterprise Single Sign-On Suiteアプリケーションの動作をカスタマイズするために使用できるレジストリの設定について説明します。

12.1 追加のPassword Reset構成手順

この項では、デプロイメント時に役立つ可能性のあるPassword Resetの追加の構成手順について説明します。

12.1.1 Password Resetレポート・サービスのDCOM権限の変更

Password Resetは、Webサーバーでローカルに実行されるSSOレポート・サービスを通じてSQLレポート・データベースにレポート・イベントを送信します。ローカルのSSOレポート・サービスは、それらのイベントを定期的にSQLレポート・データベースに送信します。

SQLレポート・データベースにイベントを送信するデフォルトの間隔は、30分です。この設定は、Password Reset管理コンソールの「Reporting」ページで変更できます。

レポートを有効にする次のいずれかの方法でWebサーバーを構成できます。

- (推奨) SSOレポート・サービスのDCOM権限を変更して、Password Resetのリセット・アカウントでSSOレポート・サービスを起動およびアクティブ化できるようにします。

- Password Resetのリセット・ドメイン・アカウントをローカルAdministratorsグループのメンバーにします。

DCOM権限を変更するには、次の手順を実行します。

1. 「スタート」→「ファイル名を指定して実行」の順にクリックします。コマンド・プロンプトで、dcomcnfgと入力して[Enter]を押し、コンポーネント・サービス管理ツールを起動します。

2. 「コンソール ルート」→「コンポーネント サービス」→「コンピューター」→「マイ コンピューター」→「DCOMの構成」ノードの順にナビゲートします。

3. 「SSOReportingService Class」ノードを右クリックして、「プロパティ」を選択します。

4. 「セキュリティ」タブを選択します。

5. 「起動とアクティブ化のアクセス許可」セクションで、「カスタマイズ」を選択して、「編集」をクリックします。

6. 「グループ名またはユーザー名」セクションで、「追加」をクリックします。

7. Password Resetのリセット・ドメイン・アカウントの名前を入力し、「OK」をクリックします。

8. Password Resetのリセット・アカウントに「ローカルからの起動」および「ローカルからのアクティブ化」権限があることを確認します。

9. 9. 「OK」を2回クリックして終了します。

12.1.2 Password ResetのためのAD LDS (ADAM)インスタンスのインストールおよび構成

1. AD LDS (ADAM)インストーラを実行します。「A unique instance」を選択して「Next」をクリックします。

2. インスタンス名を指定して「Next」をクリックします。

3. ポート番号に10000および10001を指定し(わかりやすいように1万の範囲)、「Next」をクリックします。

4. ルートDNを指定して「Next」をクリックします。

5. 見つけやすいベースの場所(%RootDrive%\ADAM\Instanceなど)を指定し、「Next」をクリックします。

6. 環境に適した実行権限を指定して、「Next」をクリックします。

7. 環境に適した管理権限を指定して、「Next」をクリックします。

8. 「Do not import LDIF files for this instance of ADAM」を選択して「Next」をクリックします。

9. 「Ready to Install」画面で「Next」をクリックします。

10. 「Complete」画面で「Finish」をクリックします。

オラクル社の法律上の注意点について

コピーライトについて

Copyright © 1994-2015, Oracle and/or its affiliates.All rights reserved.

商標と登録商標について

OracleおよびJavaはOracle Corporationおよびその関連企業の登録商標です。その他の名称は、それぞれの所有者の商標または登録商標です。

Intel、Intel Xeonは、Intel Corporationの商標または登録商標です。すべてのSPARCの商標はライセンスをもとに使用し、SPARC International, Inc.の商標または登録商標です。AMD、Opteron、AMDロゴ、AMD Opteronロゴは、Advanced Micro Devices, Inc.の商標または登録商標です。UNIXは、The Open Groupの登録商標です。

ライセンス制約の保証と結果的に生じる損害の免責

このソフトウェアおよび関連ドキュメントの使用と開示は、ライセンス契約の制約条件に従うものとし、知的財産に関する法律により保護されています。ライセンス契約で明示的に許諾されている場合もしくは法律によって認められている場合を除き、形式、手段に関係なく、いかなる部分も使用、複写、複製、翻訳、放送、修正、ライセンス供与、送信、配布、発表、実行、公開または表示することはできません。このソフトウェアのリバース・エンジニアリング、逆アセンブル、逆コンパイルは互換性のために法律によって規定されている場合を除き、禁止されています。

保証免責

ここに記載された情報は予告なしに変更される場合があります。また、誤りが無いことの保証はいたしかねます。誤りを見つけた場合は、オラクル社までご連絡ください。

制限付権利

このソフトウェアまたは関連ドキュメントを、米国政府機関もしくは米国政府機関に代わってこのソフトウェアまたは関連ドキュメントをライセンスされた者に提供する場合は、次の通知が適用されます。

U.S. GOVERNMENT END USERS: Oracle programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, delivered to U.S. Government end users are "commercial computer software" pursuant to the applicable Federal Acquisition Regulation and agency-specific supplemental regulations.As such, use, duplication, disclosure, modification, and adaptation of the programs, including any operating system, integrated software, any programs installed on the hardware, and/or documentation, shall be subject to license terms and license restrictions applicable to the programs.No other rights are granted to the U.S. Government.

危険な用途への使用について

このソフトウェアもしくはハードウェアは様々な情報管理アプリケーションでの一般的な使用のために開発されたものです。このソフトウェアもしくはハードウェアは、危険が伴うアプリケーション（人的傷害を発生させる可能性があるアプリケーションを含む）への用途を目的として開発されていません。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用する際、安全に使用するために、適切な安全装置、バックアップ、冗長性（redundancy）、その他の対策を講じることは使用者の責任となります。このソフトウェアもしくはハードウェアを危険が伴うアプリケーションで使用したことに起因して損害が発生しても、オラクル社およびその関連会社は一切の責任を負いかねます。

第三者のコンテンツ、製品、サービスに対する免責事項

このソフトウェアまたはハードウェア、そしてドキュメントは、第三者のコンテンツ、製品、サービスへのアクセス、あるいはそれらに関する情報を提供することがあります。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスに関して一切の責任を負わず、いかなる保証もいたしません。オラクル社およびその関連会社は、第三者のコンテンツ、製品、サービスへのアクセスまたは使用によって損失、費用、あるいは損害が発生しても一切の責任を負いかねます。

ドラフトのアルファ版およびベータ版ドキュメントについて

このドキュメントが試作版の場合:

このドキュメントは試作版であり、デモおよび暫定使用のみを目的としたものです。このソフトウェアを使用するハードウェアに限定するものではありません。オラクル社およびその関連会社は、このドキュメントに関して一切の責任を負わず、いかなる保証もいたしません。また、このドキュメントを使用したことによって損失、費用、あるいは損害が発生しても、一切の責任を負いかねます。