ヘッダーをスキップ
Oracle® Fusion Middleware Oracle Identity Manager管理者ガイド
11g リリース2 (11.1.2.2.0)
B69535-08
  目次へ移動
目次		 索引へ移動
索引
前
前 		 次
次		  

32 ライフサイクル管理変更の処理

Oracle Identity ManagerをOracle Access Manager (OAM)などの他のアプリケーションと統合してデプロイし、これらのアプリケーションで構成変更を行うと、Oracle Identity ManagerやOracle WebLogic Serverで様々な構成変更が必要になります。次の項では、これらの構成変更について説明します。

32.1 Oracle Identity Managerに関連するURL変更

Oracle Identity Managerでは、構造上およびミドルウェアの要件により、様々なホスト名とポートが構成に使用されています。この項では、統合された依存アプリケーションでの変更に対応して、Oracle Identity ManagerおよびOracle WebLogicで構成変更を行う方法について説明します。

この項には次のトピックが含まれます:

32.1.1 Oracle Identity Managerのホストとポートの変更

この項の内容は次のとおりです。


注意:

Oracle Identity Managerの追加ノードを追加または削除する場合は、この項で説明する手順を実行して、Oracle Identity Managerのホストとポートの変更を構成してください。

32.1.1.1 Oracle Identity Manager構成のOimFrontEndURLの変更

OimFrontEndURLは、Oracle Identity Manager UIにアクセスするために使用するURLです。これは、アプリケーション・サーバーでロード・バランサまたはWebサーバーが使用されている場合は、それに応じてロード・バランサURLまたはWebサーバーURL、そうでない場合は単一アプリケーション・サーバーURLです。これはOracle Identity Managerによって、通知メールやSOA呼び出しのコールバックURLに使用されます。

クラスタ化環境でのOracle Identity ManagerデプロイメントのWebサーバー用ホスト名またはポートの変更、または非クラスタ化環境でのOracle Identity ManagerデプロイメントのWebLogic管理対象サーバー用ホスト名またはポートの変更により、変更が必要になる場合があります。

Oracle Identity Manager構成のOimFronEndURLを変更するには:

  1. WebLogic管理サーバーとOracle Identity Manager管理対象サーバー(クラスタ化デプロイメントの場合は少なくとも1つのサーバー)が稼動しているときに、次のURLを使用してEnterprise Managerにログインします。

    http://ADMIN_SERVER/em

  2. 「Identity and Access」→「OIM」に移動します。

  3. 「OIM」を右クリックし、「システムMBeanブラウザ」に移動します。

  4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.DiscoveryConfig」→「検出」に移動します。

    クラスタ・デプロイメントでは、「アプリケーション定義のMBeans」で「oracle.iam」を選択すると、Oracle Identity Managerサーバー名が表示されます。サーバーを選択し、移動を継続してください。


    注意:

    クラスタ・デプロイメントでは、OimFrontEndURLへの変更はクラスタ内のサーバーごとに行う必要があります。

  5. OimFrontEndURL属性に新しい値を入力し、「適用」をクリックして変更を保存します。たとえば次のような値を入力できます。

    http://OIM_SERVER:OIM_PORT

    https://myoim.mydomain.com

    https://myoimserver.mydomain.com:14001


    注意:

    SPMLクライアントには、SPMLの起動とコールバック・レスポンスの送信用にOracle Identity Manager URLが格納されています。そのため、これに対応した変更が必要になります。また、Oracle Identity ManagerがOAM、OAAMやOracle Identity Navigator (OIN)と統合されている場合は、これに対応した変更が必要になる場合もあります。詳細は、Oracle Technology Network (OTN) WebサイトにあるOAM、OAAMおよびOINのドキュメントを参照してください。

    SOAタスク詳細URLは、SOAコンポジットが最初に起動されたときのOIMFrontEndURLに基づいて設定されます。その後、環境内でOIMFrontEndURLが変更された場合は、次のステップを実行し、すべてのSOAコンポジットに対してタスク詳細のURLも変更する必要があります。

    1. WebLogic管理者のユーザー名およびパスワードを使用してOracle Enterprise Managerにログインします。

    2. 左メニューで「SOA」をクリックします。「soa-infra」→「デフォルト」を開きます。

    3. デフォルト・メニューから必要なSOAコンポジットをクリックします。

    4. 右ペインの「コンポーネント・メトリック」セクションで承認タスクをクリックします。

    5. 「管理」タブをクリックします。

    6. 新しいOIMFrontEndURLに基づいてホスト名とポートを変更し、変更を保存します。

32.1.1.2 Oracle Identity Manager構成のbackOfficeURLの変更

backOfficeURLの変更は、Oracle Identity Managerがフロントオフィス構成およびバックオフィス構成にデプロイされる場合のみ必要になります。この変更は、単純なクラスタ化デプロイメントまたは非クラスタ化デプロイメントには適用されません。このURLは、フロントオフィス・コンポーネントからバックオフィス・コンポーネントにアクセスするために、Oracle Identity Managerで内部的に使用されます。バックオフィスにサーバーを追加する場合や、バックオフィスからサーバーを削除する場合は、バックオフィス構成およびフロントオフィス構成の実装中にこの属性の値を変更します。

backOfficeURL属性の値を変更するには:

  1. WebLogic管理サーバーとOracle Identity Manager管理対象サーバー(クラスタ化デプロイメントの場合は少なくとも1つのサーバー)が稼動しているときに、次のURLを使用してEnterprise Managerにログインします。

    http://ADMIN_SERVER/em

  2. 「Identity and Access」→「OIM」に移動します。

  3. 「OIM」を右クリックし、「システムMBeanブラウザ」に移動します。

  4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.DiscoveryConfig」→「検出」に移動します。

  5. BackOfficeURL属性に新しい値を入力し、「適用」をクリックして変更を保存します。たとえば次のような値を入力できます。

    t3://mywls1.mydomain.com:8001

    t3://mywls1.mydomain.com:8001,mywls2.mydomain.com:9001


    注意:

    Oracle Identity Managerの非クラスタ化およびクラスタ化デプロイメントでは、BackOfficeURL属性の値を空にする必要があります。

32.1.1.3 ヒューマン・タスク構成のタスクの詳細URLの変更

タスクの詳細URLは、受信箱内の特定のヒューマン・タスクについてのタスクの詳細ページを表示するためのURLです。これは、アプリケーション・サーバーでロード・バランサが使用されているか、Webサーバーが使用されているかよって、ロード・バランサURLまたはWebサーバーURLになり、そうでない場合は、単一のアプリケーション・サーバーURLになります。

クラスタ化環境でのOracle Identity ManagerデプロイメントのWebサーバー用ホスト名またはポートの変更、または非クラスタ化環境でのOracle Identity ManagerデプロイメントのWebLogic管理対象サーバー用ホスト名またはポートの変更により、変更が必要になる場合があります。

ヒューマン・タスク構成でタスクの詳細URLを変更するには:

  1. 次のURLを使用して、Oracle Enterprise Managerにログインします。

    http://ADMIN_SERVER/em

    クラスタ化されたデプロイでは、SOAクラスタ内の少なくとも1つのSOAサーバーが実行中であることを確認してください。

  2. 「SOA」→「soa-infra(SOA_SERVER_NAME)」→「default」に移動します。

  3. 「DefaultRequestApproval」をクリックします。

  4. 「コンポーネント・メトリック」セクションで、「ApprovalTask」リンクをクリックします。

  5. 「管理」タブをクリックします。

  6. 「ホスト名」、「HTTPポート」および「HTTPSポート」を必要に応じて変更します。

  7. DefaultRequestApprovalに含まれる他すべてのタスク(ChallengeTaskなど)に対して、手順5と6を繰り返します。

  8. その他すべてのコンポジットに対して、手順4から7を繰り返します。

32.1.2 Oracle Identity Managerデータベースのホストとポートの変更

この項では、データベースのホスト名とポート番号が使用される構成エリアについて説明します。

Oracle Identity Managerのインストール後に、データベースのホスト名またはポート番号を変更した場合は、次の変更が必要になります。


注意:

データベースのホストおよびポートを変更する前に、Oracle Identity Managerをホストする管理対象サーバーを停止してください。ただし、Oracle WebLogic管理サーバーは稼動したままでかまいません。

  • データソースoimJMSStoreDSの構成を変更するには:

    1. 「サービス」→「JDBC」→「データ・ソース」→oimJMSStoreDSに移動します。

    2. 「接続プール」タブをクリックします。

    3. データベースのホストとポートの変更に合わせて、URLと「プロパティ」フィールドの値を変更します。

  • データソースoimOperationsDBの構成を変更するには:

    1. 「サービス」→「JDBC」→「データ・ソース」→oimOperationsDBに移動します。

    2. 「接続プール」タブをクリックします。

    3. データベースのホストとポートの変更に合わせて、URLと「プロパティ」フィールドの値を変更します。

  • Oracle Identity Managerのメタデータ・ストア(MDS)構成に関連するデータソースを変更するには:

    1. 「サービス」→「JDBC」→「データ・ソース」→mds-oimに移動します。

    2. 「接続プール」タブをクリックします。

    3. データベースのホストとポートの変更に合わせて、URLと「プロパティ」フィールドの値を変更します。

  • OIMAuthenticationProviderの構成を変更するには:

    1. WebLogic管理コンソールで、「セキュリティ・レルム」→「myrealm」→「プロバイダ」に移動します。

    2. 「OIMAuthenticationProvider」をクリックします。

    3. 「プロバイダ固有」をクリックします。

    4. ホスト名とポートの変更に合わせて、DBUrlフィールドの値を変更します。


    注意:

    サービス指向アーキテクチャ(SOA)やOracle Web Services Manager (OWSM)で構成変更を行うと、SOAまたはOWSMに関連するデータソースにも同様の変更を行う必要があります。

    データソースの変更後、Oracle WebLogic管理サーバーを再起動し、Oracle Identity Managerの管理対象WebLogicサーバーを起動します。


    注意:

    OIM App構成MBeansを使用してEnterprise Management (EM)コンソールからOracle Identity Managerアプリケーション構成情報を変更するには、1つ以上のOracle Identity Manager管理対象サーバーが実行されている必要があります。稼動していない場合、EMコンソールからOIM App Config MBeansを確認できません。

  • DirectDBの構成を変更するには:

    1. 次のURLを使用してEnterprise Managerにログインします。

      http://ADMIN_SERVER/em

    2. 「Identity and Access」→「OIM」に移動します。

    3. 「OIM」を右クリックし、「アプリケーション定義のMBeans」の下の「システムMBeanブラウザ」に移動します。

    4. 「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.DirectDBConfig」→「DirectDB」に移動します。

    5. ホストとポートの変更に合わせてURL属性に新しい値を入力し、変更を適用します。


    注意:

    Oracle Identity Managerの単一インスタンスのデプロイメントをOracle Real Application Clusters (Oracle RAC)に変更する場合、またはOracle RACを単一インスタンスのデプロイメントに変更する場合は、oimJMSStoreDS、 oimOperationsDBおよびmds-oimデータソースを変更してください。これらのデータソースをマルチデータソース構成に変更するための一般的な変更に加えて、OIMAuthenticationProviderとドメイン資格証明ストア構成をOracle RACのURLに合わせて変更してください。これらの一般的な変更の詳細は、『Oracle Fusion Middleware高可用性ガイド』を参照してください。

    データベースのポートの変更の詳細は、「Oracle Identity Managerデータベースのホストとポートの変更」を参照してください。

32.1.3 Oracle Virtual Directoryのホストとポートの変更

LDAP同期が有効な場合、Oracle Identity Managerは、Oracle Virtual Directory (OVD)を介してディレクトリ・サーバーに接続します。この接続は、LDAP/LDAPSプロトコルを使用して行われます。

OVDのホストとポートを変更するには:

  1. Oracle Identity System Administrationにログインします。

  2. 「構成」で、「ITリソース」をクリックします。

  3. 「ITリソース・タイプ」リストから「ディレクトリ・サーバー」を選択し、「検索」をクリックします。

  4. ディレクトリ・サーバーのITリソースを編集します。これを行うには、次のようにします。

    1. 「SSLの使用」フィールドの値がFalseに設定されている場合は、サーバーURLフィールドを編集します。「SSLの使用」フィールドの値がTrueに設定されている場合は、「サーバーSSLのURL」フィールドを編集します。

    2. 「更新」をクリックします。


関連項目:

OVD/LDAPサーバーのOVDポートの変更の詳細は、「Oracle Identity ManagerのOVDホスト/ポートの更新」を参照してください。

32.1.4 BI Publisherのホストとポートの変更

BI Publisherのホストとポートを変更するには:

  1. WebLogic管理サーバーとOracle Identity Manager管理対象サーバー(クラスタ化デプロイメントの場合は少なくとも1つのサーバー)が稼動しているときに、次のURLを使用してEnterprise Managerにログインします。

    http://ADMIN_SERVER/em

  2. 「Identity and Access」→「OIM」に移動します。

  3. 「OIM」を右クリックし、「システムMBeanブラウザ」に移動します。

  4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.DiscoveryConfig」→「検出」に移動します。

  5. BIPublisherURL属性に新しい値を入力し、「適用」をクリックして変更を保存します。

32.1.5 SOAのホストとポートの変更

SOAのホストとポートを変更するには:


注意:

追加のSOAノードを追加または削除したときには、この手順を実行してSOAのホストとポートを変更してください。

  1. WebLogic管理サーバーとOracle Identity Manager管理対象サーバー(クラスタ化デプロイメントの場合は少なくとも1つのサーバー)が稼動しているときに、次のURLを使用してEnterprise Managerにログインします。

    http://ADMIN_SERVER/em

  2. 「Identity and Access」→「OIM」に移動します。

  3. 「OIM」を右クリックし、「システムMBeanブラウザ」に移動します。

  4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.SOAConfig」→「SOAConfig」に移動します。

  5. Rmiurl属性の値を変更し、「適用」をクリックして変更を保存します。

    Rmiurl属性は、SOA管理対象サーバーにデプロイされたSOA EJBにアクセスするために使用されます。これは、アプリケーション・サーバーのURLです。Oracle Identity Managerのクラスタ化デプロイメントの場合は、すべてのSOA管理対象サーバーURLのカンマ区切りのリストです。この属性の値は、たとえば次のようになります。

    t3://mysoa1.mydomain.com:8001

    t3s://mysoaserver1.mydomain.com:8002,mysoa2.mydomain.com:8002

    t3://mysoa1.mydomain.com:8001,mysoa2.mydomain.com:8002,mysoa3.mydomain.com:8003

  6. SOA JNDIProviderのホストとポートを変更します。これを行うには、次のようにします。

    1. WebLogic管理コンソールにログインします。

    2. 「ドメイン構造」セクションで、「OIM_DOMAIN」→「サービス」→「外部JNDIプロバイダ」に移動します。

    3. 「ForeignJNDIProvider-SOA」をクリックします。

    4. 「構成」タブで、「一般」サブタブがアクティブであることを確認します。

    5. 「プロバイダURL」の値をステップ5で指定したRmiurlに変更します。

32.1.6 OAMのホストとポートの変更

OAMのホストとポートを変更するには:

  1. WebLogic管理サーバーとOracle Identity Manager管理対象サーバー(クラスタ化デプロイメントの場合は少なくとも1つのサーバー)が稼動しているときに、次のURLを使用してEnterprise Managerにログインします。

    http://ADMIN_SERVER/em

  2. 「Identity and Access」→「OIM」に移動します。

  3. 「OIM」を右クリックし、「システムMBeanブラウザ」に移動します。

  4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.SSOConfig」→「SSOConfig」に移動します。

  5. 必要に応じて、AccessServerHost属性とAccessServerPort属性およびその他の属性の値を変更し、「適用」をクリックして変更を保存します。

32.2 Oracle Identity Managerに関連するパスワード変更

Oracle Identity Manger構成では、構造上の要件やミドルウェア要件を満たすために、様々なパスワードが使用されます。この項では、デフォルトのパスワードと、依存製品または統合された製品でパスワードが変更された場合の、Oracle Identity MangerおよびOracle WebLogic構成のパスワードの変更方法について説明します。

この項の内容は次のとおりです。

32.2.1 Oracle WebLogic管理者パスワードの変更

Oracle WebLogic管理者パスワードを変更するには:

  1. WebLogic管理コンソールにログインします。

  2. 「セキュリティ・レルム」→「myrealm」→「ユーザーとグループ」→「weblogic」→「パスワード」に移動します。

  3. 「新規パスワード」フィールドに、新しいパスワードを入力します。

  4. 「新規パスワードの確認」フィールドに、新しいパスワードを再入力します。

  5. 「適用」をクリックします。

Weblogicの資格証明は、次のような場所で更新する必要があります。

  1. 外部JNDIプロバイダ。これを行うには、次のようにします。

    1. WebLogic管理コンソールにログインします。

    2. 「ドメイン構造」セクションで、「OIM_DOMAIN」→「サービス」→「外部JNDIプロバイダ」に移動します。

    3. 「ForeignJNDIProvider-SOA」をクリックします。

    4. 「構成」タブで、「一般」サブタブがアクティブであることを確認します。

    5. 「パスワード」フィールドおよび「パスワードの確認」フィールドで、weblogicユーザーの新規パスワードを指定します。

  2. CSF内のSOAAdminPassword。詳細は、「資格証明ストア・フレームワークのOracle Identity Managerパスワードの変更」を参照してください。

32.2.2 Oracle Identity Manager管理者パスワードの変更

Oracle Identity Managerのインストール中に、インストーラによりOracle Identity Managerの管理者パスワードの入力を求められます。この管理者パスワードは、必要に応じてインストール完了後に変更できます。変更するには、Oracle Identity Managerセルフ・サービスにOracle Identity Manager管理者としてログインする必要があります。管理者のパスワードの変更方法については、『Oracle Fusion Middleware Oracle Identity Managerユーザーズ・ガイド』のパスワードの変更に関する項目を参照してください。

Oracle Identity Managerのシステム管理者のパスワードを変更するときには、CSFのoracle.wsm.securityマップでOIMAdminキーのパスワードも更新する必要があります。


注意:

OAMまたはOAAMがOracle Identity Managerに統合されている場合は、これらのアプリケーションで対応する変更を行う必要があります。詳細は、次のURLのOracle Technology Network (OTN) WebサイトにあるOAMおよびOAAMのドキュメントを参照してください。

http://www.oracle.com/technetwork/indexes/documentation/index.html

32.2.3 Oracle Identity Manager管理者のデータベース・パスワードの変更

この項では、次の各タイプのデプロイメントでの、Oracle Identity Managerのパスワードのリセットについて説明します。

  • LDAP同期のないOracle Identity Managerデプロイメント

  • LDAP同期が有効になっているOracle Identity Managerデプロイメント

  • Access Manager (OAM)と統合されているOracle Identity Managerデプロイメント

システム管理者のパスワードをリセットするには、OIM_HOME/server/bin/ディレクトリに格納されているoimadminpasswd_wls.shユーティリティを使用します。oimadminpasswd_wls.shユーティリティを実行するための手順は、LDAP同期が有効になっているOracle Identity Managerと、LDAP同期が有効になっていないOracle Identity Manager、どちらのタイプのデプロイメントでも同じです。

この項では、次の各トピックで、Oracle Identity Managerのパスワードのリセットについて説明します。

32.2.3.1 Oracle Identity Managerデプロイメントでのシステム管理者のデータベース・パスワードのリセット

システム管理者のデータベース・パスワードをリセットする手順は次のとおりです。

  1. oimadminpasswd_wls.shユーティリティを実行するための前提条件として、OIM_HOME/server/bin/oimadminpasswd_wls.propertiesファイルをテキスト・エディタで開き、次の各プロパティの値を設定します。

    • JAVA_HOME: これをjdk6以降に設定します。例:

      JAVA_HOME=/opt/softwares/shiphome/jdk160_24

    • COMMON_COMPONENTS_HOME: これは、Oracle Middlewareの共通ホーム・ディレクトリです。例:

      COMMON_COMPONENTS_HOME=/opt/softwares/shiphome/oracle_common

    • OIM_ORACLE_HOME: これは、Oracle Identity ManagerのOracleホーム・ディレクトリです。例:

      OIM_ORACLE_HOME=/opt/softwares/shiphome/Oracle_IDM1

    • ORACLE_SECURITY_JPS_CONFIG: Oracle Identity Managerドメインに存在しているjps-config-jse.xmlファイルの場所を指定します。例:

      ORACLE_SECURITY_JPS_CONFIG=/opt/softwares/shiphome/user_projects/domains/base_domain/config/fmwconfig/jps-config-jse.xml

    • DOMAIN_HOME: Weblogic Application ServerのOracle Identity Managerドメインのホームの場所を指定します。例:

      DOMAIN_HOME=/opt/softwares/shiphome/user_projects/domains/base_domain

    • DBURL: Oracle Identity ManagerのデータベースURL。例:

      DBURL=jdbc:oracle:thin:@dbhostname:5521:orclsid

    • DBSCHEMAUSER: Oracle Identity Managerのスキーマ・ユーザー名。例:

      DBSCHEMAUSER=DEV_OIM

    • OIM_OAM_INTG_ENABLED: Oracle Identity ManagerデプロイメントがAccess Managerと統合されていない場合は、これをfalseに設定します。例:

      OIM_OAM_INTG_ENABLED=false

    注意:

    LDAPURL、LDAPADMINUSER、OIM_ADMIN_LDAP_DNなど、他のプロパティは無視してかまいません。これらのプロパティは、Oracle Identity ManagerとAccess Managerが統合されている環境でのみ使用されるからです。

  2. OIM_HOME/server/bin/ディレクトリに移動し、次のコマンドを実行します。

    sh oimadminpasswd_wls.sh oimadminpasswd_wls.properties

    サンプル出力は次のようになります。

    Enter OIM DB Schema Password :
Enter OIM Adminstrator xelsysadm new Password:
Re-enter OIM Adminstrator xelsysadm new Password:
WARNING: Not able to fetch OIMPlatform instance for the given Platform. Hence defaulting to the OIMWebLogicPlatform

OIM Admin user xelsysadm password reset successfully in OIMDB

    注意:

    oimadminpasswd_wls.shスクリプトの実行中に表示された警告メッセージは、無視してかまいません。

32.2.3.2 Oracle Identity ManagerデプロイメントがAccess Managerと統合されているときのシステム管理者のデータベース・パスワードのリセット

Oracle Identity ManagerがOAMと統合されている場合は、Oracle Internet DirectoryなどのLDAPディレクトリが、すべての認証目的に使用されます。したがって、Oracle Identity Managerの管理者xelsysadmのパスワードがLDAPでリセットされます。Oracle Identity Managerデータベースに存在しているxelsysadmのパスワードはこのトポロジで使用されていませんが、LDAPディレクトリでもリセットされ、両方のリポジトリでパスワードが同期するようになります。

Oracle Identity ManagerデプロイメントがAccess Managerと統合されているときにシステム管理者のデータベース・パスワードをリセットする手順は次のとおりです。

  1. oimadminpasswd_wls.shユーティリティを実行するための前提条件として、OIM_HOME/server/bin/oimadminpasswd_wls.propertiesファイルをテキスト・エディタで開き、次の各プロパティの値を設定します。

    • JAVA_HOME: これをjdk6以降に設定します。例:

      JAVA_HOME=/opt/softwares/shiphome/jdk160_24

    • COMMON_COMPONENTS_HOME: これは、Oracle Middlewareの共通ホーム・ディレクトリです。例:

      COMMON_COMPONENTS_HOME=/opt/softwares/shiphome/oracle_common

    • OIM_ORACLE_HOME: これは、Oracle Identity ManagerのOracleホーム・ディレクトリです。例:

      OIM_ORACLE_HOME=/opt/softwares/shiphome/Oracle_IDM1

    • ORACLE_SECURITY_JPS_CONFIG: Oracle Identity Managerドメインに存在しているjps-config-jse.xmlファイルの場所を指定します。例:

      ORACLE_SECURITY_JPS_CONFIG=/opt/softwares/shiphome/user_projects/domains/base_domain/config/fmwconfig/jps-config-jse.xml

    • DOMAIN_HOME: Weblogic Application ServerのOracle Identity Managerドメインのホームの場所を指定します。例:

      DOMAIN_HOME=/opt/softwares/shiphome/user_projects/domains/base_domain

    • DBURL: Oracle Identity ManagerのデータベースURL。例:

      DBURL=jdbc:oracle:thin:@dbhostname:5521:orclsid

    • DBSCHEMAUSER: Oracle Identity Managerのスキーマ・ユーザー名。例:

      DBSCHEMAUSER=DEV_OIM

    • OIM_OAM_INTG_ENABLED: Oracle Identity ManagerデプロイメントがAccess Managerと統合されている場合は、これをtrueに設定します。例:

      OIM_OAM_INTG_ENABLED=true

    • LDAPURL: LDAPディレクトリのURL。非SSLポートを指定する必要があります。例:

      LDAPURL=ldap://LDAP_HOSTNAME:3060

    • LDAPADMINUSER : LDAPディレクトリの管理ユーザー名。例:

      LDAPADMINUSER=cn=orcladmin

    • OIM_ADMIN_LDAP_DN: Oracle Identity Managerの管理者xelsysadmの、LDAPディレクトリにおける完全DN。例:

      OIM_ADMIN_LDAP_DN=cn=xelsysadm,cn=Users,dc=us,dc=mydomain,dc=com

  2. OIM_HOME/server/bin/ディレクトリに移動し、次のコマンドを実行します。

    sh oimadminpasswd_wls.sh oimadminpasswd_wls.properties

    サンプル出力は次のようになります。

    Enter OIM DB Schema Password :
Enter OIM Adminstrator xelsysadm new Password:
Re-enter OIM Adminstrator xelsysadm new Password:
WARNING: Not able to fetch OIMPlatform instance for the given Platform. Hence defaulting to the OIMWebLogicPlatform

OIM Admin user xelsysadm password reset successfully in OIMDB
OIM Admin user cn=xelsysadm,cn=Users,dc=...,dc=...,dc=... password reset successfully in LDAP

    注意:

    • oimadminpasswd_wls.shスクリプトの実行中に表示された警告メッセージは、無視してかまいません。

    • xelsysadmパスワードの期限設定は、2035年まで失効しないように設定されています。Oracle Identity ManagerとAccess Managerの統合時、xelsysadmユーザーのobpasswordexpirydate設定は"2035-01-01T00:00:00Z"に設定されます。この値が変更された場合は、xelsysadmのこの値を"2035-01-01T00:00:00Z"に戻してください。この値は次のテンプレートLDIFファイルから最初にロードされます。

      $OIM_ORACLE_HOME/idmtools/templates/oid/idm_xelsysadmin_user.ldif

32.2.4 Oracle Identity Managerデータベース・パスワードの変更

Oracle Identity Managerは、2つのデータベース・スキーマを使用して、Oracle Identity Managerの操作および構成データを格納します。Oracle Identity Manager MDSスキーマを使用して構成関係の情報を格納し、Oracle Identity Managerスキーマを使用してその他の情報を格納します。スキーマ・パスワードを変更すると、Oracle Identity Manager構成も変更する必要があります。

Oracle Identity Managerデータベース・パスワードを変更すると、次の変更を行う必要があります。


注意:

データベース・パスワードを変更する前に、Oracle Identity Managerをホストする管理対象サーバーを停止してください。ただし、Oracle WebLogic管理サーバーは稼動したままでかまいません。

  • データソースoimJMSStoreDSの構成を変更するには:

    1. 「サービス」→「JDBC」→「データ・ソース」→「oimJMSStoreDS」に移動します。

    2. 「接続プール」タブをクリックします。

    3. 「パスワード」および「パスワードの確認」フィールドに、Oracle Identity Managerデータベース・スキーマの新しいパスワードを入力します。

    4. 「保存」をクリックして変更を保存します。

  • データソースoimOperationsDBの構成を変更するには:

    1. 「サービス」→「JDBC」→「データ・ソース」→「oimJMSStoreDS」に移動します。

    2. 「接続プール」タブをクリックします。

    3. 「パスワード」および「パスワードの確認」フィールドに、Oracle Identity Managerデータベース・スキーマの新しいパスワードを入力します。

    4. 「保存」をクリックして変更を保存します。

  • Oracle Identity Manager MDSに関連するデータソースの構成を変更するには:

    1. 「サービス」→「JDBC」→「データ・ソース」→「mds-oim」に移動します。

    2. 「接続プール」タブをクリックします。

    3. 「パスワード」および「パスワードの確認」フィールドに、Oracle Identity Manager MDSデータベース・スキーマの新しいパスワードを入力します。

    4. 「保存」をクリックして変更を保存します。


    注意:

    • Oracle Real Application Clusters (Oracle RAC)構成を使用したOracle Identity Managerのデプロイメントでは、各マルチデータソース構成の下にあるすべてのデータソースを変更する必要があります。

    • SOAまたはOWSMに関連するデータソースでも、必要に応じて同様の変更を行ってください。

  • OIMAuthenticationProviderの構成を変更するには:

    1. WebLogic管理コンソールで、「セキュリティ・レルム」→「myrealm」→「プロバイダ」に移動します。

    2. 「OIMAuthenticationProvider」をクリックします。

    3. 「プロバイダ固有」をクリックします。

    4. 「DBPassword」フィールドに、Oracle Identity Managerデータベース・スキーマの新しいパスワードを入力します。

    5. 「保存」をクリックして変更を保存します。

  • ドメインの資格証明ストアの構成を変更するには:

    1. 次のURLを使用してEnterprise Managerにログインします。

      http://ADMIN_SERVER/em

    2. 「WebLogicドメイン」→DOMAIN_NAMEに移動します。

    3. 「OIM」を右クリックし、「セキュリティ」→「資格証明」→「OIM」に移動します。

    4. 「OIMSchemaPassword」を選択し、「編集」をクリックします。

    5. 「パスワード」フィールドに新しいパスワードを入力し、「OK」をクリックします。

Oracle Identity Managerデータベース・パスワードを変更したら、WebLogic管理サーバーを再起動します。またOracle Identity managerが管理するWebLogicサーバーも同様に起動します。

32.2.5 資格証明ストア・フレームワークのOracle Identity Managerパスワードの変更

インストール・プロセスでは、Oracle Identity Managerインストーラによって複数のパスワードが格納されます。資格証明ストア・フレームワーク(CSF)には様々な値がキーおよび値として格納されています。表32-1にキーとその対応する値を示します。

表32-1 CSFキー

キー 説明

DataBaseKey

データベースの暗号化に使用されるキーのパスワード。パスワードは、インストーラでOracle Identity Managerキーストアに入力されたユーザー入力値です。

.xldatabasekey

データベース暗号化キーを格納するキーストアのパスワード。パスワードは、インストーラでOracle Identity Managerキーストアに入力されたユーザー入力値です。

xell

xellキーのパスワードで、Oracle Identity Manager コンポーネント間の通信を保護するために使用されます。Oracle Identity Managerインストーラによって生成されるデフォルトのパスワードは、xellerateです。

default_keystore.jks

JKSキーストアdefault_keystore.jksのパスワードで、DOMAIN_HOME/config/fmwconfig/ディレクトリにあります。パスワードは、インストーラでOracle Identity Managerキーストアに入力されたユーザー入力値です。

SOAAdminPassword

パスワードはインストーラで「SOA管理者パスワード」フィールドに入力されたユーザー入力値です。

OIMSchemaPassword

Oracle Identity Managerデータベース・スキーマに接続するためのパスワードです。パスワードはインストーラで「OIMデータベース・スキーマのパスワード」フィールドに入力されたユーザー入力値です。

JMSKey

パスワードは、インストーラでOracle Identity Managerキーストアに入力されたユーザー入力値です。

CSFキーの値を変更するには:

  1. 次のURLに移動して、Oracle Enterprise Managerにログインにします。

    http://ADMIN_SERVER/em

  2. 「WebLogicドメイン」→「DOMAIN_NAME」に移動します。

  3. 「oim」を右クリックし、「セキュリティ」→「資格証明」を選択します。

  4. ディレクトリ・サーバーのITリソースを編集します。これを行うには、「管理者パスワード」フィールドに新しいOVDパスワードを入力し、「更新」をクリックします。

32.2.6 OVDパスワードの変更

OVDパスワードを変更するには:

  1. Oracle Identity Manager管理にログインします。

  2. 「拡張」をクリックします。

  3. 「構成」の下の「ITリソースの管理」をクリックします。

  4. 「ITリソース・タイプ」リストから「ディレクトリ・サーバー」を選択します。

  5. 「検索」をクリックします。

  6. ディレクトリ・サーバーのITリソースを編集します。これを行うには、「管理者パスワード」フィールドに新しいOVDパスワードを入力し、「更新」をクリックします。

32.2.7 LDAPにおけるOracle Identity Manager管理者パスワードの変更

Oracle Identity Managerシステム管理者パスワードをLDAPにおいて変更するには:

  1. 次に示すように、LDAPからユーザーのdnを参照します。

    $ORACLE_HOME/bin/ldapsearch -D cn=orcladmin -w fusionapps1 -h localhost -p 6501 -b dc=com "cn=SYS_ADMIN" orclaccountlocked dn

    ここで、SYS_ADMINは、システム管理者ユーザー・ログインです。

  2. 次のようなファイルを作成します。

    $ more /tmp/resetpassword_SYS_ADMIN

dn: cn=SYS_ADMIN,cn=Users,dc=us,dc=mydomain,dc=com
changetype: modify
replace: userPassword
userPassword: NEW_PASSWORD

    ここで、NEW_PASSWORDは、クリアテキストにするパスワードです。

  3. 次に示すように、パスワードを変更します。

    $ORACLE_HOME/bin/ldapmodify -D cn=orcladmin -w fusionapps1 -h localhost -p 6501 -f /tmp/ resetpassword _SYS_ADMIN

  4. 次に示すように、ユーザーのパスワードが変更されていることを確認します。

    $ORACLE_HOME/bin/ldapbind -D cn=SYS_ADMIN,cn=Users,dc=us,dc=mydomain,dc=com -w NEW_PASSWORD -h localhost -p 6501

32.2.8 LDAPにおけるOracle Identity Manager管理者パスワードのロック解除

Oracle Identity Managerシステム管理者パスワードをLDAPにおいてロック解除するには:

  1. 次に示すように、LDAPからユーザーのdnを参照します。

    $ORACLE_HOME/bin/ldapsearch -D cn=orcladmin -w fusionapps1 -h localhost -p 6501 -b dc=com "cn=SYS_ADMIN" orclaccountlocked dn

    orclaccountlockedの値が1の場合、ユーザーはロックされています。

  2. 次のようなファイルを作成します。

    $ more /tmp/unlock_SYS_ADMIN

dn: cn=SYS_ADMIN,cn=Users,dc=us,dc=mydomain,dc=com
changetype: modify
replace: orclaccountlocked
orclaccountlocked: 0

  3. 次に示すように、ユーザーをロック解除します。

    $ORACLE_HOME/bin/ldapmodify -D cn=orcladmin -w fusionapps1 -h localhost -p 6501 -f /tmp/unlock_SYS_ADMIN

  4. 次に示すように、ユーザーがロック解除されていることを確認します。

    $ORACLE_HOME/bin/ldapsearch -D cn=orcladmin -w fusionapps1 -h localhost -p 6501 -b dc=com "cn=SYS_ADMIN" orclaccountlocked dn

    orcladdountlockedの値は、0である必要があります。

32.2.9 スキーマのパスワードの変更

OIM、MDS、SOAINFRA、OPSSおよびORASDPMスキーマ・パスワードを変更するには、次の手順を実行します。

  1. すべての管理対象サーバーとアプリケーション・サーバーを停止します。

  2. ドメイン全体とデータベースのバックアップを作成します。

  3. アプリケーション・サーバーを起動します。

  4. xxxx_OPSSユーザー・パスワードを変更します。これを行うには、次のようにします。

    1. 次のコマンドを実行します。

      SQL> alter user xxxx_OPSS identified by NEW_PASSWORD;
SQL>commit;

    2. ORACLE_COMMON/common/bin/ディレクトリに移動し、wlstコマンドを実行します。

    3. 次のように、modifyBootStrapCredentialスクリプトを実行します。

      modifyBootStrapCredential(jpsConfigFile='DOMAIN_NAME/config/fmwconfig/jps-config.xml', username='xxxx_OPSS', password='NEW_PASSWORD')

      注意:

      modifyBootStrapCredentialスクリプトの詳細は、『Oracle Fusion Middlewareアプリケーション・セキュリティ・ガイド』のmodifyBootStrapCredentialに関する項を参照してください。

  5. ドメインのbin/ディレクトリに移動し、次のコマンドを実行します。

    ./setDomainEnv.sh

  6. 次のコマンドを実行します。

    bin/java weblogic.security.Encrypt
password:NEW_PASSWORD
{AES}JHyrhOMB5hVRuDU/pV0qX86qz98ZV0xWXBSEAANA4Gs >>>>>>>>>>>>> This is your new encrypted password

  7. テキスト・エディタで、DOMAIN_NAME\Config\jdbc\OPSSdbs.xmlファイルを開きます。現在の暗号化されたパスワードを、新しく暗号化されたパスワード値に置き換えます。

  8. OPSSdbs.xmlファイルを保存します。

  9. Weblogic管理コンソールにログインします。「サービス」→ 「データ・ソース」の順に移動します。

  10. 「opss-DBDS」→「接続プール」を選択し、手順4aでxxxx_opssに設定された新しいパスワードを入力します。変更を保存します。

  11. アプリケーション・サーバーを再起動します。ただし、管理対象サーバーは起動しません。

  12. sqlplusを使用してシステム・ユーザーとしてデータベースに接続した後、次のコマンドを実行します。

    1. xxx_OIMのパスワードを変更するには、次のコマンドを実行します。

      SQL> alter user xxx_OIM identified by NEW_PASSWORD;
SQL>commit

    2. xxx_MDSのパスワードを変更するには、次のコマンドを実行します。

      SQL> alter user xxx_MDS identified by NEW_PASSWORD;
SQL>commit;

    3. xxx_SOAINFRAのパスワードを変更するには、次のコマンドを実行します。

      SQL> alter user xxx_SOAINFRA identified by NEW_PASSWORD;
SQL>commit

    4. xxx_ORASDPMのパスワードを変更するには、次のコマンドを実行します。

      SQL> alter user xxx_ORASDPM identified by NEW_PASSWORD;
SQL>commit;

  13. パスワードが変更されたことを確認します。これを行うには、sqlplusを使用して、4つのユーザーと新しいパスワードでデータベースにログインします。

  14. WebLogic管理コンソールにログインします。

  15. 「サービス」→「データ・ソース」の順に移動し、次の操作を実行します。

    1. 「oimJMSStoreDS」→「接続プール」を選択し、手順12aでxxx_OIMに設定された新しいパスワードを入力します。

    2. 「oimOperationsDB」→「接続プール」を選択し、手順12aでxxx_OIMに設定された新しいパスワードを入力します。

    3. 「ApplicationDB」→「接続プール」を選択し、手順12aでxxx_OIMに設定された新しいパスワードを入力します。

    4. 「mds-oim」→「接続プール」を選択し、手順12bでxxx_MDSに設定された新しいパスワードを入力します。

    5. 「mds-owsm」→「接続プール」を選択し、手順12bでxxx_MDSに設定された新しいパスワードを入力します。

    6. 「mds-soa」→「接続プール」を選択し、手順12bでxxx_MDSに設定された新しいパスワードを入力します。

    7. 「EDNDataSource」→「接続プール」を選択し、手順12cでxxx_SOAINFRAに設定された新しいパスワードを入力します。

    8. 「EDNLocalTxDataSource」→「接続プール」を選択し、手順12cでxxx_SOAINFRAに設定された新しいパスワードを入力します。

    9. 「SOADataSource」→「接続プール」を選択し、手順12cでxxx_SOAINFRAに設定された新しいパスワードを入力します。

    10. 「SOALocalTxDataSource」→「接続プール」を選択し、手順12cでxxx_SOAINFRAに設定された新しいパスワードを入力します。

    11. 「OraSDPMDataSource」→「接続プール」を選択し、手順12dでxxx_ORASDPMに設定された新しいパスワードを入力します。

  16. OIMAuthenticationProvider構成を変更します。これを行うには、次のようにします。

    1. WebLogic管理コンソールで、「セキュリティ・レルム」→「myrealm」→「プロバイダ」に移動します。

    2. 「OIMAuthenticationProvider」をクリックします。

    3. 「プロバイダ固有」をクリックします。

    4. 「DBPassword」フィールドに、Oracle Identity Managerデータベース・スキーマの新しいパスワードを入力します。

    5. 「保存」をクリックして変更を保存します。

  17. ドメインの資格証明ストアの構成を変更します。これを行うには、次のようにします。

    1. Oracle Enterprise Managerにログインします。

    2. 「WebLogicドメイン」→DOMAIN_NAMEに移動します。

    3. ドメイン名を右クリックし、「セキュリティ」→「資格証明」→「oim」を選択します。

    4. 「OIMSchemaPassword」を選択し、「編集」をクリックします。

    5. 「パスワード」フィールドで、新しいパスワードを入力し、「OK」をクリックします。

  18. WebLogic管理サーバーを再起動します。

  19. SOAおよびOracle Identity Managerの管理対象サーバーを起動します。

32.3 Oracle Identity ManagerのSSLの構成

この項では、Oracle Identity Manager、およびOracle Identity Managerが相互作用して安全な通信を確立するコンポーネントの鍵の生成、証明書への署名およびエクスポート、SSL構成の設定について手順を説明します。内容は次のとおりです。


注意:

  • 「キーの生成」から「証明書のインポート」までの項では、このドキュメントにおいて後で使用されるサンプル・コマンドについて説明します。これらは参照用であって、構成の必須手順の一部ではありません。

  • 職務の分離(SoD)の様々な目的に合せてSecure Sockets Layer (SSL)通信を有効化する方法の詳細は、『Oracle Fusion Middleware Oracle Identity Manager開発者ガイド』のSSL通信の有効化に関する項を参照してください。

32.3.1 キーの生成

keytoolコマンドを使用して、秘密と公開の証明書のペアを生成できます。

次のコマンドでは、アイデンティティ・キーストア(support.jks)が作成されます。

$JAVA_HOME/jre/bin/keytool -genkey
-alias support
-keyalg RSA
-keysize 1024
-dname "CN=localhost, OU=Identity, O=Oracle Corporation,C=US"
-keypass KEYSTORE_PASSWORD
-keystore support.jks
-storepass weblogic1

注意:

  • keytoolコマンドに渡すパラメータ値は、個別の要件に応じて変更してください。keytoolの引数には改行が含まれないようにしてください。

  • JDK 7u40以降を使用している場合は、keysizeオプションの値を1024以上にする必要があります。この制限の詳細は、次のURLにアクセスして「Default x.509 Certificates Have Longer Key Length」の項を参照してください。

    http://www.oracle.com/technetwork/java/javase/7u40-relnotes-2004172.html

32.3.2 証明書への署名

作成した証明書に署名するには、次のkeytoolコマンドを使用します。

$JAVA_HOME/jre/bin/keytool -selfcert -alias support
  -sigalg MD5withRSA -validity 2000 -keypass weblogic1
  -keystore support.jks
  -storepass KEYSTORE_PASSWORD

注意:

keytoolコマンドに渡すパラメータ値は、個別の要件に応じて変更してください。keytoolの引数には改行が含まれないようにしてください。

32.3.3 証明書のエクスポート

証明書をアイデンティティ・キーストアからファイル(supportcert.pemなど)にエクスポートするには、次のkeytoolコマンドを使用します。

$JAVA_HOME/jre/bin/keytool -export -alias support
  -file supportcert.pem
  -keypass weblogic1
  -keystore support.jks
  -storepass KEYSTORE_PASSWORD

注意:

keytoolコマンドに渡すパラメータ値は、個別の要件に応じて変更してください。keytoolの引数には改行が含まれないようにしてください。

32.3.4 証明書のインポート

証明書をファイル(wlservercert.pemなど)からアイデンティティ・キーストアにインポートするには、次のkeytoolコマンドを使用します。

$JAVA_HOME/jre/bin/keytool -import -alias serverwl -trustcacerts -file D:\bea\user_projects\domains\mydomain\wlservercert.pem 
-keystore CLIENT_TRUST_STORE -storepass CLIENT_TRUST_STORE_PASSWORD

注意:

keytoolコマンドに渡すパラメータ値は、個別の要件に応じて変更してください。keytoolの引数には改行が含まれないようにしてください。

32.3.5 Oracle Identity ManagerおよびSOAサーバーのSSLの有効化

SSLを有効化するには、Oracle Identity ManagerおよびSOAサーバーで次の構成を実行する必要があります。

32.3.5.1 Oracle Identity ManagerのSSLの有効化

Oracle Identity ManagerのSSLの有効化について、次の各項で説明します。

32.3.5.1.1 デフォルト設定を使用したOracle Identity ManagerのSSLの有効化

デフォルト設定を使用してOracle Identity ManagerおよびSOAサーバーのSSLを有効化するには、次の手順を実行します。

  1. WebLogic Server管理コンソールにログインし、「サーバー」→「OIM_SERVER1」→「一般」に移動します。「一般」セクションで、SSLポートに任意の値を設定して有効化できます。

  2. サーバーはリスニングを開始し、HTTPSプロトコルを使用してURLにアクセスできるようになります。

  3. Oracle Identity ManagerはSSLが有効化されたSOAサーバーと相互作用する必要があるため、管理サーバーおよびSOAサーバーで同じ手順を実行します。

32.3.5.1.2 カスタム・キーストアを使用したOracle Identity ManagerのSSLの有効化

カスタム・キーストアを使用してOracle Identity ManagerのSSLを有効化するには、次の手順を実行します。


注意:

カスタム・キーの生成の詳細は、「鍵の生成」を参照してください。

  1. WebLogic Server管理コンソールで、「環境」→「サーバー」→Server_Name (OIM_Server1)→「構成」をクリックし、「一般」をクリックします。

  2. 「ロックして編集」をクリックします。

  3. 「SSLリスニング・ポートの有効化」を選択します。デフォルトのポートは14001です。

  4. 「キーストア」タブを選択します。

  5. 「キーストア」リストから、カスタムID、Java標準信頼を選択します。

  6. 「カスタムIDキーストア」フィールドに、カスタムIDキーストア・ファイル名の絶対パスを入力します。例:

    DOMAIN_HOME/config/fmwconfig/support.jks


    注意:

    • Oracle Identity Managerによってインストール中にDOMAIN_HOME/config/fmwconfig/に作成されるキーストアはdefault-keystore.jksです。

    • トラストストアにデフォルト名(default-keystore.jks)とは異なる名前を使用している場合は、次のステップを実行します。

      1. Oracle Identity Managerの資格証明ストア・マップ・キーを追加します。デフォルトではOracle Identity Manager構成でdefault-keystore.jksが作成されるため、他の名前(support.jksなど)を使用している場合は、Oracle Enterprise Managerを使用して資格証明ストアにキーを作成します。

      2. oim-Config.xmlファイルでDirectDBの構成を変更します(MDSからこのファイルをエクスポート/インポートするか、Enterprise Managerを使用します)。後者の場合、「システムMBeanブラウザ」の「アプリケーション定義のMBeans」セクションで「XMLConfig」に移動し、たとえば次のようにSSLパラメータを変更します。

        SSLConfig dBTrustStore="support.jks"

  7. カスタムIDキーストア・タイプとして、JKSを指定します。

  8. 「カスタムIDキーストアのパスフレーズ」および「カスタムIDキーストアのパスフレーズを確認」のフィールドにパスワード(weblogic1)を入力します。

  9. 「保存」をクリックします。

  10. 「SSL」タブをクリックします。

  11. 秘密鍵のエイリアスとして、supportと入力します。

  12. 「秘密鍵のパスフレーズ」および「秘密鍵のパスフレーズを確認」のフィールドにパスワード(weblogic1)を入力します。

  13. 「保存」をクリックします。

  14. 同様の手順(手順1から13)を管理サーバーとSOAサーバーに対して実行します。

  15. 「変更のアクティブ化」をクリックします。

  16. 「証明書のエクスポート」でエクスポートした証明書を、SPMLクライアントのトラストストアおよびJava標準信頼ストアにインポートします。

    JAVA_HOME/jre/lib/security/cacerts


    注意:

    Javaの標準トラストストア(JAVA_HOME/jre/lib/security/cacerts)のデフォルト・パスワードは、changeitです。

    証明書のインポートの詳細は、「証明書のインポート」を参照してください。

  17. DOMAIN_HOME/bin/setDomainEnv.shファイル(UNIX)、またはDOMAIN_HOME\bin\setDomainEnv.cmdファイル(Microsoft Windows)で、JAVA_PROPERTIESに次の内容を追加します。

    -Djavax.net.ssl.trustStore=$JAVA_HOME/jre/lib/security/cacerts

  18. 変更内容を有効にするためにすべてのサーバーを再起動します。


注意:

Oracle Identity ManagerとSOAサーバーでSSLを有効にした後、これらの間での安全な通信を確立するために、次の変更を行います。

32.3.5.2 OimFrontEndURLをSSLポートを使用するように変更

OimFrontEndURLは、oimアプリケーションのUIへのアクセスに使用されます。これはロード・バランサURLかWebサーバーURL (アプリケーション・サーバーでロード・バランサまたはWebサーバーが使用されている場合)、または単一アプリケーション・サーバーURLになります。これは、通常、Oracle Identity Managerによって、通知メール、またはSOAからOracle Identity ManagerへのコールバックWebサービスの送信に使用されます。

OimFrontEndURLをSSLポートを使用するように変更するには:

  1. WebLogic管理サーバーおよびOracle Identity Manager管理対象サーバー(クラスタの場合は少なくとも1つのサーバー)が稼動しているときに、Enterprise Manager (EM)にログインします。

    例:

    http://<AdminServer>/em

  2. 「Identity and Access」→「Oracle Identity Manager」→「oim (11.1.2.0.0)」に移動します。

  3. 右クリックして「システムMBeanブラウザ」を選択します。

  4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「サーバー:<oim_servername>」→「アプリケーション:oim」に移動します。

    クラスタ・デプロイメントでは、「アプリケーション定義のMBeans」で「oracle.iam」を選択すると、Oracle Identity Managerサーバー名が表示されます。サーバーを選択し、移動を継続してください。


    注意:

    クラスタ・デプロイメントでは、OimFrontEndURLへの変更はクラスタ内のサーバーごとに行う必要があります。

  5. OimFrontEndURL属性に新しい値を入力し、「適用」をクリックして変更を保存します。

    例:

    http://myoim.mydomain.com

    https://myoim.mydomain.com

    http://myoimserver.mydomain.com:14002


    注意:

    Fusion AppsやSPMLクライアントには、SPMLの起動やコールバック・レスポンスの送信のために、Oracle Identity Manager URLが格納されています。そのため、これに対応する変更が必要になります。また、Oracle Identity ManagerにOAM/OAAM/OINが統合されている場合は、これに対応する変更も必要になります。他のコンポーネントとの統合の詳細は、第31章「他のOracleコンポーネントとの統合」を参照してください。

32.3.5.3 backOfficeURLをSSLポートを使用するように変更

backOfficeURLを変更する必要があるのは、Oracle Identity Managerがフロントオフィス/バックオフィス構成でデプロイされている場合のみです。単純なクラスタまたは非クラスタ・インストールの場合は、次の内容は適用されません。このURLは、フロントオフィス・コンポーネントからバックオフィス・コンポーネントにアクセスするために、Oracle Identity Managerで内部的に使用されます。バックオフィスにサービスを追加したり、バックオフィスからサービスを削除するには、バックオフィス/フロントオフィス構成の実装中にこの値を内部的に変更する必要があります。

backOfficeURLをSSLポートを使用するように変更するには:

  1. WebLogic管理サーバーおよびOracle Identity Manager管理対象サーバー(クラスタの場合は少なくとも1つのサーバー)が稼動しているときに、Enterprise Manager (EM)にログインします。

    例:

    http://<AdminServer>/em

  2. 「Identity and Access」→「Oracle Identity Manager」に移動します。

  3. 右クリックして「システムMBeanブラウザ」を選択します。

  4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→「構成」→「XMLConfig.DiscoveryConfig」→「検出」に移動します。

  5. backOfficeURL属性に新しい値を入力し、「適用」をクリックして変更を保存します。

    例:

    t3://mywls1.mydomain.com:8001

    t3://mywls1.mydomain.com:8001,mywls2.mydomain.com:9001


    注意:

    単純なクラスタおよび非クラスタ・インストールの場合は、値は空にする必要があります。

32.3.5.4 SOAサーバーURLをSSLポートを使用するように変更

SOAサーバーURLをSSLポートを使用するように変更するには:

  1. 管理サーバーおよびOracle Identity Manager管理対象サーバーが稼動しているときに、Enterprise Manager (EM)にログインします。

    例:

    http://ADMINISTRATIVE_SERVER/em

  2. 「Identity and Access」→「Oracle Identity Manager」に移動します。

  3. 右クリックして「システムMBeanブラウザ」を選択します。

  4. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→構成→「XMLConfig.SOAConfig」→「SOAConfig」に移動します。

  5. Rmiurl属性の値を変更します。


    注意:

    Rmiurlは、SOA管理対象サーバーにデプロイされたSOA EJBにアクセスするために使用されます。

    これは、アプリケーション・サーバーのURLです。クラスタ化されたインストールの場合は、すべてのSOA管理対象サーバーURLのカンマ区切りのリストです。

    例:

    t3://mysoa1.mydomain.com:8001

    t3s://mysoaserver1.mydomain.com:8002

    t3://mysoa1.mydomain.com:8001,mysoa2.mydomain.com:8002,mysoa3.com:8003

  6. Soapurl属性の値を変更します。例:

    http://myoimsoa.mydomain.com

    https://mysoa.mydomain.com: 8001


    注意:

    Soapurlは、SOA管理対象サーバーにデプロイされたSOA Webサービスにアクセスするために使用されます。これは、Webサーバーまたはロード・バランサをフロントエンドとするSOAクラスタでは、WebサーバーURLまたはロード・バランサURLです。単一SOAサーバーでは、アプリケーション・サーバーURLです。

  7. 「適用」をクリックして変更を保存します。

32.3.5.5 Design ConsoleのSSLの構成

Oracle Identity ManagerとDesign console間に安全な接続を確立するようにDesign consoleを変更するには:

  1. wlfullclient.jarを生成し、$OIM_HOME/designconsole/ext/ディレクトリに配置します。これを行うには、次のようにします。

    1. WL_HOME/server/lib/ディレクトリに移動します。

    2. 次のコマンドを実行します。

      java -jar wlfullclient.jar

    3. 次のようにwlfullclient.jarをコピーします。

      $WL_HOME/server/lib/から$OIM_HOME/designconsole/ext/

  2. webserviceclient+ssl.jarを次のコピー元からコピーします:

    $WL_HOME/server/lib

    次へ

    $OIM_HOME/designconsole/ext/

  3. MW_HOME/modules/cryptoj.jarをOIM_HOME/designconsole/ext/ディレクトリにコピーします。

  4. $DESIGN_CONSOLE_HOME/config/xlconfig.xmlファイルを編集します。次の変更を加えます。

    変更前:

    <Discovery>
            <CoreServer>
<java.naming.provider.url>t3://HOST_NAME:OIM_PORT/oim</java.naming.provider.url>
<java.naming.factory.initial>weblogic.jndi.WLInitialContextFactory</java.naming.factory.initial>
            </CoreServer>
</Discovery>

    変更後:

    <Discovery>
            <CoreServer>
<java.naming.provider.url>t3s://HOST_NAME:OIM_SSL_PORT/oim</java.naming.provider.url>
<java.naming.factory.initial>weblogic.jndi.WLInitialContextFactory</java.naming.factory.initial>
            </CoreServer>
</Discovery>

    変更前:

    <ApplicationURL>http://HOST_NAME:PORT_NUMBER/xlWebApp/loginWorkflowRenderer.do</ApplicationURL>

    変更後:

    <ApplicationURL>https://HOST_NAME:OIM_SSL_PORT/xlWebApp/loginWorkflowRenderer.do</ApplicationURL>

  5. Design consoleでサーバー信頼ストアを使用します。これにアクセスするには、次のようにします。

    1. WebLogic Server管理コンソールで、「環境」→「サーバー」に移動します。

    2. <OIM_SERVER_NAME>をクリックして、Oracle Identity Mangerサーバーの詳細を表示します。

    3. 「キーストア」タブをクリックし、「信頼」セクションに表示される信頼キーストアの場所を書き留めておきます。

    4. Design ConsoleがOracle Identity Managerホストにデプロイされている場合は、TRUSTSTORE_LOCATION環境変数を、手順5cで示した信頼キーストアの場所に設定します。例:

      setenv TRUSTSTORE_LOCATION WL_HOME//server/lib/DemoTrust.jks

    5. Design ConsoleがOracle Identity Managerとは違うホストにデプロイされている場合は、信頼キーストアをDesign Consoleがデプロイされているホストにコピーし、TRUSTSTORE_LOCATION環境変数を信頼キーストアをコピーしたローカル・ホストの場所に設定します。例:

      setenv TRUSTSTORE_LOCATION OIM_HOME/designconsole/DemoTrust.jks

  6. $DESIGN_CONSOLE_HOME/config/xl.policyに、すべてに対するデフォルトの付与ポリシーが含まれていない場合は、次に示すようにcryptoj.jarファイルの最後に権限を追加します。

    grant codeBase "file:DIRECTORY_PATH_TO_cryptoj.jar"{  permission java.security.AllPermission;};

    $MW_HOME/modules/cryptoj.jarを$OIM_HOME/designconsole/ext/ディレクトリにコピーします。


    注意:

    ここでは、$MW_HOME/modules/cryptoj.jarを$OIM_HOME/designconsole/ext/ディレクトリにコピーする手順は必須です。xl.policyにすべてに対するデフォルトの付与ポリシーが含まれていない場合は、権限の設定が必要です。

32.3.5.6 Oracle Identity ManagerユーティリティのSSLの構成

Oracle Identity Managerクライアント・ユーティリティには、PurgeCache、GenerateSnapshot、UploadJars、およびUploadResourcesがあります。

TRUSTSTORE_LOCATION環境変数を信頼キーストアの場所に設定します。


注意:

TRUSTSTORE_LOCATION環境変数を信頼キーストアの場所に設定する方法の詳細は、「Design ConsoleのSSLの構成」を参照してください。

例:

setenv TRUSTSTORE_LOCATION WL_HOME/server/lib/DemoTrust.jks

32.3.5.7 SPML/コールバック・ドメインのSSLの構成

SPML/コールバック・ドメインのSSLを構成するには:

  1. Oracle Identity ManagerのポートがSSL有効で、「ホスト名の検証」が「false」に設定されていることを確認します。

  2. コールバック・ドメインを含むFusion ApplicationsでSSLを有効化します。


    関連項目:

    カスタム・キーストアを使用したOracle Identity ManagerのSSLの有効化の詳細は、「カスタム・キーストアを使用したOracle Identity ManagerのSSLの有効化」を参照してください。

  3. WebLogicのデフォルトの信頼ストアを使用している場合は、SSLモードの有効化以外の変更は行わないでください。

  4. デフォルト以外の証明書がある場合は、信頼できる証明書を交換して双方向の信頼を確立する必要があります。証明書への署名およびエクスポートの詳細は、「証明書への署名」および「証明書のエクスポート」を参照してください。


    関連項目:

    Oracle WebLogic ServerのSSLの構成の詳細は、『Oracle Fusion Middleware Oracle WebLogic Serverの保護』のSSLの構成に関する説明を参照してください。

  5. スタンドアロン・クライアントを使用して、テスト目的でSPMLリクエストを送信する場合は、次のようにする必要があります。

    1. SSL対応のOIMポートにリクエストを送信するには、SPMLクライアントのコマンドに次のシステム・プロパティを追加します。

      • Djavax.net.ssl.trustStore=D:\Oracle\Middleware1\wlserver_10.3\server\lib\DemoTrust.jks


        注意:

        Djavax.net.ssl.trustStoreパラメータの値をSSLの構成に使用されるトラストストアを指すように変更します。

        WebLogicでSSLの構成に使用されるトラストストアの場所は、「Design ConsoleのSSLの構成」を参照してください。

      • -Djava.protocol.handler.pkgs=weblogic.net

      • -Dweblogic.security.TrustKeyStore=DemoTrust

    2. webserviceclient+ssl.jarをクライアント・クラスパスに追加します。

32.3.6 Oracle Identity Manager DBのSSLの有効化

Oracle Identity Manager DBのSSLを有効化するには、次の構成を実行する必要があります。

32.3.6.1 サーバー認証SSLモードでのDBの設定

サーバー認証SSLモードでDBを設定するには:

  1. DBサーバーとリスナーを停止します。

  2. listener.oraファイルを次のように構成します。

    1. 次のパスに移動します。

      $DB_ORACLE_HOME/network/adminディレクトリ

      例:

      /scratch/user1/production-database/product/11.1.0/db_1/network/admin

    2. listener.oraファイルを編集してSSLリスニング・ポートとサーバー・ウォレット・ロケーションを含めます。

      次にlistener.oraファイルのサンプルを示します。

      # listener.ora Network Configuration File: DB_HOME/listener.ora
# Generated by Oracle configuration tools.
 
SSL_CLIENT_AUTHENTICATION = FALSE
 
WALLET_LOCATION =
  (SOURCE =
    (METHOD = FILE)
    (METHOD_DATA =
      (DIRECTORY = DB_HOME/server_keystore_ssl.p12)
    )
  )
 
LISTENER =
  (DESCRIPTION_LIST =
    (DESCRIPTION =
      (ADDRESS = (PROTOCOL = TCPS)(HOST = server1.mycompany.com)(PORT = 2484))
    )
    (DESCRIPTION =
      (ADDRESS = (PROTOCOL = TCP)(HOST = server1.mycompany.com)(PORT = 1521))
    )
  )
 
TRACE_LEVEL_LISTENER = SUPPORT

  3. sqlnet.oraファイルを次のように構成します。

    1. 次のパスに移動します。

      $DB_ORACLE_HOME/network/adminディレクトリ

      例:

      /scratch/user1/production-database/product/11.1.0/db_1/network/admin

    2. sqlnet.oraファイルを編集して次の内容を含めます。

      • TCPS認証サービス

      • SSL_VERSION

      • サーバー・ウォレット・ロケーション

      • SSL_CLIENT_AUTHENTICATIONタイプ(trueまたはfalse)

      • 通信で許可されるSSL_CIPHER_SUITES(オプション)

      次にsqlnet.oraファイルのサンプルを示します。

      # sqlnet.ora Network Configuration File: DB_HOME/sqlnet.ora
# Generated by Oracle configuration tools.
 
SQLNET.AUTHENTICATION_SERVICES= (BEQ, TCPS)
 
SSL_VERSION = 3.0
 
SSL_CLIENT_AUTHENTICATION = FALSE
 
WALLET_LOCATION =
  (SOURCE =
    (METHOD = FILE)
    (METHOD_DATA =
      (DIRECTORY = DB_HOME/server_keystore_ssl.p12)
    )
  )

  4. tnsnames.oraファイルを次のように構成します。

    1. 次のパスに移動します。

      $DB_ORACLE_HOME/network/adminディレクトリ

      例:

      /scratch/user1/production-database/product/11.1.0/db_1/network/admin

    2. tnsnames.oraファイルを編集してサービスの説明リストにSSLリスニング・ポートを含めます。

      次にtnsnames.oraファイルのサンプルを示します。

      # tnsnames.ora Network Configuration File: DB_HOME/tnsnames.ora
# Generated by Oracle configuration tools.

PRODDB =
 (DESCRIPTION_LIST =
  (DESCRIPTION =
    (ADDRESS = (PROTOCOL = TCPS)(HOST = server1.mycompany.com)(PORT = 2484))
    (CONNECT_DATA =
      (SERVER = DEDICATED)
      (SERVICE_NAME = proddb)
    )
  )
  (DESCRIPTION =
    (ADDRESS = (PROTOCOL = TCP)(HOST = server1.mycompany.com)(PORT = 1521))
    (CONNECT_DATA =
      (SERVER = DEDICATED)
      (SERVICE_NAME = proddb)
    )
  )
 )

  5. DBサーバーのユーティリティを起動および停止します。

  6. DBサーバーを起動します。

32.3.6.2 キーストアと証明書の作成

orapkiユーティリティを使用して、サーバー側とクライアント側のキーストアを作成できます。このユーティリティは、Oracle DBインストールの一部として出荷されます。

キーストアは、JKSやPKCS12などの任意の形式にすることができます。キーストアの形式は、プロバイダの実装によって異なります。たとえば、JKSはSun Oracleが提供する実装で、PKCS12はOraclePKIProviderが提供する実装です。

Oracle Identity Managerでは、DBサーバーにJKSクライアント・キーストアのみを使用します。これは、PKCS12などのJKS以外のキーストア形式を使用するには、リリースが差し迫っているときにインストーラ側に大きな変更を加える必要があったためです。ただし、Oracle Identity Managerにはdefault-KeyStore.jksという名前のJKS形式のキーストアがあらかじめ含まれています。

orapkiユーティリティを使用して、次のキーストアを作成できます。

ルートCAウォレットの作成

ルート認証局(CA)ウォレットを作成するには:

  1. 次のパスに移動します。

    $DB_ORACLE_HOME/binディレクトリ

  2. 次のコマンドを使用してウォレットを作成します。

    ./orapki wallet create -wallet CA_keystore.p12 -pwd KEYSTORE_PASSWORD

  3. 次のコマンドを使用して、自己署名証明書をCAウォレットに追加します。

    ./orapki wallet add -wallet CA_keystore.p12 -dn 'CN=root_test,C=US' -keysize 2048 -self_signed -validity 3650 -pwd KEYSTORE_PASSWORD

  4. 次のコマンドを使用してウォレットを表示します。

    ./orapki wallet display -wallet CA_keystore.p12 -pwd KEYSTORE_PASSWORD

  5. 次のコマンドを使用してCAウォレットから自己署名証明書をエクスポートします。

    ./orapki wallet export -wallet CA_keystore.p12 -dn 'CN=root_test,C=US' -cert self_signed_CA.cert -pwd KEYSTORE_PASSWORD

DBサーバー側ウォレットの作成

DBサーバー側ウォレットを作成するには:

  1. 次のコマンドを使用してサーバー・ウォレットを作成します。

    ./orapki wallet create -wallet server_keystore_ssl.p12 -auto_login -pwd KEYSTORE_PASSWORD

  2. 次のコマンドを使用して、証明書リクエストをサーバー・ウォレットに追加します。

    ./orapki wallet add -wallet server_keystore_ssl.p12/ -dn 'CN=Customer,OU=Customer,O=Customer,L=City,ST=NY,C=US' -keysize 2048 -pwd KEYSTORE_PASSWORD

  3. 次のコマンドを使用して、証明書リクエストをファイルにエクスポートします。これは後でルートCA署名を使用して署名を受けるために使用されます。

    ./orapki wallet export -wallet server_keystore_ssl.p12/ -dn 'CN=Customer,OU=Customer,O=Customer,L=City,ST=NY,C=US' -request server_creq.csr -pwd KEYSTORE_PASSWORD

  4. 次のコマンドを使用して、サーバー・ウォレットの証明書リクエストにCA署名を使用して署名を受けます。

    ./orapki cert create -wallet CA_keystore.p12 -request server_creq.csr -cert server_creq_signed.cert -validity 3650 -pwd KEYSTORE_PASSWORD

  5. 次のコマンドを使用して、署名された証明書を表示します。

    /orapki cert display -cert server_creq_signed.cert -complete

  6. 次のコマンドを使用して、信頼された証明書をサーバー・ウォレットにインポートします。

    ./orapki wallet add -wallet server_keystore_ssl.p12 -trusted_cert -cert self_signed_CA.cert -pwd KEYSTORE_PASSWORD

  7. 次のコマンドを使用して、この新規作成された署名証明書(ユーザー証明書)をサーバー・ウォレットにインポートします。

    ./orapki wallet add -wallet server_keystore_ssl.p12 -user_cert -cert server_creq_signed.cert -pwd KEYSTORE_PASSWORD

クライアント側ウォレットの作成

クライアント側(Oracle Identity Managerサーバー)ウォレットを作成するには:

  1. 次のパスに移入されているdefault-keystore.jksキーストアを使用して、クライアント・キーストアを作成します。

    DOMAIN_HOME/config/fmwconfig


    注意:

    Oracle PKCS12ウォレットをクライアント・キーストアとして使用することもできます。

  2. 次のコマンドを使用して、サーバー側コマンドを使用してすでにエクスポートされている自己署名付きの信頼されたCA証明書を、クライアント・キーストア(default-keystore.jks)にインポートします。

    JAVA_HOME/jre/bin/keytool -import -trustcacerts -alias dbtrusted -noprompt -keystore default-keystore.jks -file self_signed_CA.cert -storepass xellerate

32.3.6.3 Oracle Identity Managerの更新

Oracle Identity ManagerおよびOracle Identity Manager DBでSSLモードを有効にして安全な通信を確保するには、Oracle Identity Managerで次の手順を実行する必要があります。

  1. 信頼された証明書をOracle Identity Managerのdefault-keystore.jksキーストアにインポートします。

  2. Enterprise Managerにログインします。

  3. 「Identity and Access」→「OIM」に移動します。

  4. 右クリックして「システムMBeanブラウザ」に移動します。

  5. 「アプリケーション定義のMBeans」で、「oracle.iam」→「アプリケーション:OIM」→「XMLConfig」→構成→「XMLConfig.DirectDBConfig」→「DirectDB」に移動します。

  6. Sslenabled属性とUrl属性の値を変更して、「適用」をクリックします。DBでSSLモードが有効な場合は、Url属性にTCPS有効化とSSLポートを含める必要があります。

    例:

    url="jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)(HOST=my.domain.com)(PORT=2484))(CONNECT_DATA=(SERVICE_NAME=proddb)))"

  7. Oracle Identity Managerサーバーを再起動します。

32.3.6.4 WebLogic Serverの更新

Oracle Identity Manager DBのSSLを有効にした後で、DB SSLポートを使用してOracle Identity Managerの次のデータソースとオーセンティケータを変更する必要があります。


注意:

データベースのホストまたはポートの変更を行う前に、Oracle Identity Managerアプリケーションをホストする管理対象サーバーを停止する必要があります。ただし、WebLogic管理サーバーは稼動させたままでかまいません。

データソースoimJMSStoreDSの構成の更新

データソースoimJMSStoreDSの構成を更新するには:

  1. WebLogic Serverにログインします。

  2. 「サービス」→「JDBC」→「データ・ソース」→「oimJMSStoreDS」に移動します。

  3. 「接続プール」タブをクリックします。

  4. 次の例に示すように、URLの値を変更してSSl DBのホスト/ポートに対する変更を反映します。

    jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)(HOST=myhost.mydomain.com)(PORT=2484))(CONNECT_DATA=(SERVICE_NAME=myhost1.mydomain.com)))

  5. 「プロパティ」を更新して、次のSSL関連プロパティを追加します。

    javax.net.ssl.trustStore=DOMAIN_HOME/default-keystore.jks
javax.net.ssl.trustStoreType=JKS
EncryptionMethod=SSL
oracle.net.ssl_version=3.0
javax.net.ssl.trustStorePassword=PASSWORD

データソースoimOperationsDBの構成の更新

データソースoimOperationsDBの構成を更新するには:

  1. WebLogic Serverにログインします。

  2. 「サービス」→「JDBC」→「データ・ソース」→「oimJMSStoreDS」に移動します。

  3. 「接続プール」タブをクリックします。

  4. 次の例に示すように、URLの値を変更してSSl DBのホスト/ポートに対する変更を反映します。

    jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)(HOST=myhost.mydomain.com)(PORT=2484))(CONNECT_DATA=(SERVICE_NAME=myhost1.mydomain.com)))

  5. 「プロパティ」を更新して、次のSSL関連プロパティを追加します。

    javax.net.ssl.trustStore=DOMAIN_HOME/default-keystore.jks
javax.net.ssl.trustStoreType=JKS
EncryptionMethod=SSL
oracle.net.ssl_version=3.0
javax.net.ssl.trustStorePassword=PASSWORD

Oracle Identity Manager MDSに関連するデータソースの構成の更新

Oracle Identity Manager MDSに関連するデータソースの構成を更新するには:

  1. WebLogic Serverにログインします。

  2. 「サービス」→「JDBC」→「データ・ソース」→「mds-oim」に移動します。

  3. 「接続プール」タブをクリックします。

  4. 次の例に示すように、URLの値を変更してSSl DBのホスト/ポートに対する変更を反映します。

    jdbc:oracle:thin:@(DESCRIPTION=(ADDRESS=(PROTOCOL=TCPS)(HOST=myhost.mydomain.com)(PORT=2484))(CONNECT_DATA=(SERVICE_NAME=myhost1.mydomain.com)))

  5. 「プロパティ」を更新して、次のSSL関連プロパティを追加します。

    javax.net.ssl.trustStore=DOMAIN_HOME/default-keystore.jks
javax.net.ssl.trustStoreType=JKS
EncryptionMethod=SSL
oracle.net.ssl_version=3.0
javax.net.ssl.trustStorePassword=PASSWORD

    注意:

    必要に応じて、SOA/OWSMに関連するデータソースにも同様の更新を行ってください。

Oracle Identity Managerオーセンティケータの更新

WebLogicサーバーの既存のOracle Identity Managerオーセンティケータは、非SSL DB詳細に対して構成されており、Oracle Identity Manager DBとの通信にデータソースを使用しません。オーセンティケータでSSL DB詳細を使用するには、次の手順を実行する必要があります。

  1. データソースがSSLに構成されていることを確認します。

  2. WebLogic管理コンソールで、「セキュリティ・レルム」→「myrealm」→ 「プロバイダ」に移動します。

  3. OIMAuthenticationProviderを削除します。

  4. OIMAuthenticatorタイプの認証プロバイダを作成し、制御フラグをSUFFICIENTに設定します。

  5. OIMSignatureAuthenticatorタイプの認証プロバイダを作成し、制御フラグをSUFFICIENTに設定します。

  6. オーセンティケータを次の順に並べ替えます。

    1. DefaultAuthenticator

    2. OIMAuthenticator

    3. OIMSignatureAuthenticator

    4. その他のプロバイダ(あれば)

  7. すべてのサーバーを再起動します。

32.3.7 LDAP同期のSSLの有効化

Oracle Identity ManagerでSSL有効化されたOracle Virtual Directory (OVD)を使用できるようにするには、次の構成を実行する必要があります。

32.3.7.1 OVD-OIDでのSSLの有効化

OVD-OIDでSSLを有効化するには:

  1. OVD EMコンソールにログインします。

  2. 「Identity and Access」を展開し、「ovd1」→「管理」→「リスナー」に移動します。

  3. 「作成」をクリックし、必要なフィールドすべてに入力します。


    注意:

    「リスナー・タイプ」にはLDAPを選択してください。

  4. 「OK」をクリックします。

  5. 新規作成されたLDAPリスナーを選択し、「編集」をクリックします。

  6. 「リスナーの編集 - OIM SSL ENDPOINT」ページで、新規作成されたLDAPリスナーを編集します。

  7. 「OK」をクリックします。「SSL構成」ページが開きます。

  8. 「SSLの有効化」チェック・ボックスを選択します。

  9. 「拡張SSL設定」セクションで、SSL認証に対して、「認証なし」を選択します。

  10. 「OK」をクリックします。

  11. OVDサーバーを停止してから起動し、変更を有効にします。


    注意:

    再起動オプションは使用しないでください。

32.3.7.2 Oracle Identity ManagerのOVDホスト/ポートの更新

LDAPSyncが有効な場合、Oracle Identity ManagerはOVDを介してディレクトリ・サーバーに接続します。この接続にはLDAP/LDAPSプロトコルを使用します。

OVDのホストおよびポートを変更するには:

  1. Oracle Identity System Administrationにログインします。

  2. 「詳細」に移動し、「ITリソースの管理」をクリックします。

  3. 「ITリソース・タイプ」として「ディレクトリ・サーバー」を選択し、「検索」をクリックします。

  4. ITリソース・ディレクトリ・サーバーで、サーバーURLを編集してSSLプロトコルとSSLポート詳細を含めます。

  5. 「SSLの使用」がtrueに設定されていることを確認し、「更新」をクリックします。

32.3.7.3 管理対象WebLogic ServerでのSSLの有効化

管理対象WebLogic ServerでSSLを有効化するには:

  1. テキスト・エディタで、startManagedWebLogic.shファイルを開きます。

  2. 次の例に示すように、SSLのURLを指すようにADMIN_URLの値を変更します。

    ADMIN_URL="https://myhost.mydomain.com:7002"

  3. startManagedWebLogic.shファイルを保存します。

  4. すべてのサーバーを起動します。

32.4 WebLogic管理者サーバー・ユーザー名の更新(オプション)

ドメインのWebLogic管理者のユーザー名がweblogic以外の場合は、Oracle Enterprise Managerを使用してWebLogic管理者のユーザー名を更新する必要があります。これを行うには、次のようにします。

  1. 次に示すように、Oracle Identity Managerの構成を更新します。

    1. Oracle Identity Managerの管理対象サーバーが起動しており、稼働中であることを確認します。

    2. WebLogic Server管理者の資格証明を使用して、Oracle Enterprise Manager Fusion Middleware Controlにログインします

    3. 「Identity and Access」、oimの順に開きます。oim(11.1.2.0.0)を右クリックして、「システムMBeanブラウザ」を選択します。「システムMBeanブラウザ」ページが表示されます。

    4. 「アプリケーション定義のMBeans」の下で、「oracle.iam」→「Server:oim_server1」→「Application: oim」→「XMLConfig」→「config」→「XMLConfig.SOAConfig」→「SOAConfig」を選択します。

    5. 「ユーザー名」属性を表示します。デフォルトで、属性の値はweblogicです。この値を、WebLogic管理者のユーザー名に変更します。

    6. 「適用」をクリックします。

    7. 資格証明ストア・フレームワークでWebLogic管理者資格証明を変更するには、次の手順を実行します。

      i. 「WebLogicドメイン」、「DOMAIN_NAME」の順に開きます。「DOMAIN_NAME」を右クリックし、「セキュリティ」→「資格証明」を選択します。

      ii. 「資格証明プロバイダ」表で、「oim map」を開きます。

      iii. 「SOAAdminPassword」キーを選択して、「編集」をクリックします。

      iv. ユーザー名とパスワードをWebLogic管理者のユーザー名とパスワードに変更します。

      v. 「OK」をクリックします。

      vi. Oracle Enterprise Manager Fusion Middleware Controlを終了します。

  2. Oracle Identity Managerにユーザーを作成して、次に示すように、そのユーザーに管理者ロールを割り当てます。

    1. システム管理者の資格証明を使用して、Oracle Identity Self Serviceにログインします。

    2. WebLogic管理者のユーザー名で新しいユーザーを作成します。

    3. 「ルールの追加」をクリックします。

    4. 「オペランド値の選択」セクションから「ユーザー・ログイン」を選択し、「追加」をクリックします。

    5. 「値」ボックスで、WebLogic管理者のログインIDを入力します。

    6. 「追加」をクリックします。

    7. 「保存」をクリックします。

    8. 適用して評価をクリックします。

    9. 新しく作成したユーザー(WebLogic管理者のユーザー名を持つユーザー)を「管理者」ロールのメンバーとして追加します。

    10. Oracle Identity Managerを再起動します。詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のスタックの開始に関する項を参照してください。

  3. 次に示すように、外部JNDIプロバイダのWebLogic管理者のユーザー名を更新します。

    1. WebLogic管理コンソールにログインします。

    2. 「ドメイン構造」セクションで、「OIM_DOMAIN」→「サービス」→「外部JNDIプロバイダ」に移動します。

    3. 「ForeignJNDIProvider-SOA」をクリックします。

    4. 「構成」タブで、「一般」サブタブがアクティブであることを確認します。

    5. 「ユーザー名」フィールドに、weblogicユーザーのユーザー名を指定します。

  前
前 		 次
次
  目次へ移動
目次		 索引へ移動
索引