ヘッダーをスキップ
Oracle® Fusion Middleware Oracle Identity and Access Management高可用性ガイド
11gリリース2 (11.1.2.2)
B69538-05
  目次へ移動
目次
前
前 		 次
次		  

12 Oracle Privileged Account Managerコンポーネントの高可用性の構成

この章では、Oracle Privileged Account Managerの高可用性フレームワークについて説明します。内容は次のとおりです。

Oracle Privileged Account Managerは、他のどのOracle Identity Managementコンポーネントにも管理されない特権アカウントを管理します。機密データにアクセスできる場合、機密データへのアクセス権限を付与できる場合または機密データへのアクセスとアクセス権限の付与の両方ができる場合に、アカウントは特権とみなされます。

Oracle Privileged Account Managerの詳細とその機能は、『Oracle Fusion Middleware Oracle Privileged Account Manager管理者ガイド』のOracle Privileged Account Managerの理解に関する説明を参照してください。

12.1 Oracle Privileged Account Managerコンポーネント・アーキテクチャ

Oracle Privileged Account Manager (OPAM)は、Webアプリケーションとして実行されるサーバー、ユーザー・インタフェースおよびセッション・マネージャ・コンポーネントで構成されます。サーバーとユーザー・インタフェースはWebアプリケーションです。この時点で、セッション・マネージャは、Webインタフェースを持たない標準のJ2EEアプリケーションです。OPAMサーバーは、WebLogic管理対象サーバー内で実行されます。OPAMユーザー・インタフェースはOracle Identity Navigator (OIN)の一部で、OPAM WebLogic管理対象サーバーでも実行されます。OPAMセッション・マネージャは、管理対象サーバーでも実行されます。

OPAMデプロイメントのデフォルトの最も簡単な構成では、WebLogicドメイン内の単一のOPAM管理対象サーバーの実行が必要です。OPAMは、独自のスキーマを使用してターゲットのパスワード、アカウント、その他のアイテムを格納します。

次の図は、Oracle Privileged Account Managerのアーキテクチャとトポロジを示しています。

図12-1 Oracle Privileged Account Managerコンポーネント・アーキテクチャ

図12-1の説明が続きます
「図12-1 Oracle Privileged Account Managerコンポーネント・アーキテクチャ」の説明

このアーキテクチャでは、次の点に注意してください。

この項には次のトピックが含まれます:

12.1.1 ランタイム・プロセス

OPAMサーバーは、WebLogic管理対象サーバーを実行するサーバー・コンポーネントです。OPAMセッション・マネージャは、OPAM WebLogic管理対象サーバーでも実行されるコンポーネントです。OPAMユーザー・インタフェースは、OPAM WebLogic管理対象サーバーで実行されるコンポーネントです。OPAMサーバーは、OPAMユーザー・インタフェースおよびコマンド行クライアントを含むクライアントとの通信に、RESTプロトコルを使用します。OPAMサーバーは、データ・ストアとしてOPAMデータベースを使用します。OPAMサーバーおよびユーザー・インタフェースは、複数のサーバーがあるWebLogicクラスタにデプロイでき、WebLogicコンソールを使用してプロセスを管理します。

12.1.2 プロセスのライフサイクル

OPAMサーバーおよびOPAMセッション・マネージャは、WebLogic ServerにデプロイされるJ2EEアプリケーションです。

起動時に、OPAM Lifecycle Listenerは、キーストアがそのドメインに存在するかどうかを確認します。

  • キーストアが存在しない場合は、OPAM Lifecycle Listenerは、ランダムに生成されたキーストアのパスワードを使用してキーストアを作成し、ドメイン名を別名としたキーストア・エントリを作成し、そのキーストア・パスワードを使用してCSFを更新します。

  • キーストアが存在する場合は、CSFからキーストア・パスワードを取得して、ドメイン名を別名とするエントリが存在するかどうかを確認します。

キーストアおよび目的のキーストアのCSFエントリが存在する場合は操作を行わないため、OPAMの高可用性環境はプロセスのライフサイクルに影響を与えません。

OPAMサーバーは、RESTfulインタフェースがクライアントにサービスを提供するサーブレット・モデルを使用します。このため、コンポーネントのライフサイクルは、その他の実行中のインスタンスに影響を与えません。

CSFの詳細は、『Oracle Fusion Middleware Oracle Privileged Account Manager管理者ガイド』のOracle Privileged Account Manager管理対象CSF資格証明に関する説明を参照してください。

12.1.3 セッションの状態

OPAMサーバーはRESTベースの通信を使用し、クライアントはHTTPS URLを使用します。セッションの状態情報は保存されません。各通信で操作を完了すると、セッションは保持されません。

OPAMセッション・マネージャは、円滑化する特権セッションごとにセッションの状態を維持します。セッションの確立後、セッション開始時に使用されたOPAMセッション・マネージャ・インスタンスは、そのセッションを継続する必要があります。セッション中にOPAMセッション・マネージャに障害が発生した場合は、バックグラウンド・スレッドが定期的に孤立したセッションをクリーンアップします。

12.1.4 外部依存性

OPAMサーバーの依存性の内容は次のとおりです。

  • ICFコネクタ、ターゲット・システムとの通信用

  • 外部IDストア、認証用(WebLogicで構成可能)

OPAMユーザー・インタフェースおよびOPAMコマンド行ツールはOPAMサーバーに依存します。HTTPS URLを使用するRESTであるクライアント接続は短期です。

12.1.5 デプロイメント・アーティファクト

OPAMを管理対象サーバーにデプロイした場合、Oracle Identity Navigatorは管理サーバーにデプロイされます。Oracle JRFは、管理サーバーと管理対象サーバーの両方にデプロイされます。表12-1は、OPAM製品アーティファクトのデプロイ先を示します。

表12-1 OPAMデプロイメント・アーティファクト

場所 製品アーティファクト

管理サーバー

Oracle JRF

管理対象サーバー

OPAMサーバー.earファイル、OPAMセッション・マネージャ.earファイル、
Oracle Identity Navigator .earファイル、Oracle JRF

12.1.6 ログ・ファイルの場所

WebLogic Serverのログおよび監査ログは、DOMAIN_HOMEに保存されます。

監査ログがWebLogicに構成されている場合は、監査データベースに保存されます。

12.2 Oracle Privileged Account Managerの高可用性の概要

クラスタ・レベルで、Connectorディレクトリ、時間制限などのOPAMプロパティを変更できます。

すべてのサーバーは、構成が保持されている共通ドメインのOPAMデータ・ストアに接続します。したがって、すべてのサーバーは共有データを取得します。

12.3 Oracle Privileged Account Managerの高可用性アーキテクチャ

図12-2は、アクティブ/アクティブ構成で高可用性アーキテクチャにデプロイされたOracle Privileged Account Managerを示しています。

図12-2 高可用性アーキテクチャのOracle Privileged Account Manager

図12-2の説明が続きます
「図12-2 高可用性アーキテクチャのOracle Privileged Account Manager」の説明

この構成では、Oracle Privileged Account Managerのサーバーは、同じドメインの一部であり、同じOPSSセキュリティ・ストアを使用します。複数のサーバーがOPSSセキュリティ・ストアと対話するため、データベースをOPSSバックエンドとして使用することをお薦めします。

このクラスタ構成では、クラスタ内の別のサーバーから同じデータを使用できます。各管理対象サーバーには独自のポート構成があります。構成にはロード・バランサが含まれています。

OPAMHOST1には、次のインストールがあります。

OPAMHOST2には、次のインストールがあります。

12.3.1 クラスタの起動と停止

デフォルトでは、WebLogic Serverによって、このアプリケーションに対するライフサイクル・イベントの起動、停止、監視および管理が行われます。Oracle Privileged Account Managerアプリケーションは、基盤となるOracle WebLogicクラスタの高可用性機能を利用します。ハードウェアなどの障害が発生した場合は、障害発生ノードの処理の再開が可能な他のクラスタ・ノードがこのセッション状態を使用できます。

高可用性環境では、WebLogicノード・マネージャはWebLogic Serverを監視するように構成されます。障害発生時には、ノード・マネージャによってWebLogic Serverが再起動されます。

高可用性環境では、状態情報と構成情報は、クラスタ内のすべてのメンバーが共有するデータベースに格納されます。

12.4 Oracle Privileged Account Managerの高可用性およびノード障害

高可用性構成でのOracle Privileged Account Managerのノード障害には、次の特性があります。

12.5 Oracle Privileged Account Managerの高可用性の構成

この項では、Oracle Privileged Account Managerの高可用性で最大限の高可用性を得るためのデプロイメントを設定する高度な手順について説明します。この項では、次の項目について説明します。

12.5.1 適切なデプロイメント環境

新しいWebLogicドメインにOracle Identity NavigatorとともにOracle Privileged Account Managerを構成し、Oracle Identity Navigatorの検出機能を実行する場合、このトピックの構成を実行してください。この機能により、Oracle Identity Manager、Oracle Access Management、Oracle Adaptive Access ManagerおよびOracle Privileged Account Managerの製品コンソールへのリンクが移入されます。これにより、個々の製品コンソールURLを覚えていなくても、Oracle Identity Navigatorインタフェースからこれらの製品コンソールにアクセスできます。

12.5.2 デプロイされるコンポーネント

この項の構成を実行すると、Oracle Privileged Account ManagerおよびOracle Identity Navigatorアプリケーションが新しいWebLogic管理サーバーにデプロイされます。

12.5.3 依存性

この項の構成は、次のものに依存しています。

  • Oracle WebLogic Server

  • Oracle Identity and Access Management 11gソフトウェアのインストール

詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Identity and Access Management (11.1.2.0.0)のインストールと構成に関する説明を参照してください。

12.5.4 高可用性の構成手順

この項の手順は次のとおりです。

12.5.4.1 OPAMHOST1でのOracle Identity and Access Managementの構成

Oracle Privileged Account ManagerおよびOracle Identity Navigatorの高可用性を最大化するように構成するには、次の手順を実行します。

  1. Oracle WebLogic Serverをインストールし、Middlewareホームを作成します。詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のWebLogic ServerおよびMiddlewareホームの要件に関する説明を参照してください。

  2. Oracle Identity and Access Management 11gソフトウェアをインストールします。詳細は、『Oracle Fusion Middleware Oracle Identity and Access Managementインストレーション・ガイド』のOracle Identity and Access Management (11.1.2.0.0)のインストールに関する説明を参照してください。

  3. このコマンドを実行して、構成ウィザードを起動します。

    ORACLE_HOME/oracle_common/common/bin/config.sh

    注意:

    config.shスクリプトは、Oracle Identity Manager、Access Manager、Oracle Adaptive Access Manager、Oracle Entitlements Server、Oracle Privileged Account Manager、Mobile and SocialおよびOracle Identity Navigatorが含まれているOracle Identity and Access Managementホーム・ディレクトリから実行する必要があります。

  4. 「ようこそ」画面で「新しいWebLogicドメインの作成」を選択し、「次へ」をクリックします。「ドメイン・ソースの選択」画面が表示されます。

  5. 「ドメイン・ソースの選択」画面で、「次の製品をサポートするために、自動的に構成されたドメインを生成する」オプションが選択されていることを確認します。Oracle Privileged Account Manager - 11.1.2.0.0 [IAM_Home]を選択します。


    注意:

    「Oracle Privileged Account Manager - 11.1.2.0.0 [IAM_Home]」オプションを選択すると、「Oracle Identity Navigator」、「Oracle JRF」および「Oracle Platform Security Services」オプションもデフォルトで選択されます。

    「次へ」をクリックします。「ドメイン名と場所の指定」画面が表示されます。

  6. ドメイン名IDM_Domainを入力します。「ドメインの場所」および「アプリケーション・ディレクトリ」は、デフォルトのままにします。「次へ」をクリックします。「管理者ユーザー名およびパスワードの構成」画面が表示されます。

  7. 管理者のユーザー名とパスワードを構成します。デフォルトのユーザー名はweblogicです。「次へ」をクリックします。

  8. Oracle Fusion Middleware構成ウィザードの「サーバーの起動モードおよびJDKの構成」画面で、JRockit SDK 1.6.0_<version>と「本番モード」を選択します。

  9. 「JDBCコンポーネント・スキーマの構成」画面で、OPAMスキーマおよびOPSSスキーマのデータベース・スキーマの詳細を入力します。


    注意:

    GridLinkデータ・ソースを使用することもできます。詳細は、第3.13項「GridLinkデータ・ソース」を参照してください。

    (オプション)コンポーネント・スキーマのRAC構成に関するオプションを選択します。

    「次へ」をクリックします。

  10. 「コンポーネント・スキーマのテスト」画面で、構成ウィザードによりデータ・ソースの検証が試行されます。すべてのスキーマに対するテストが正常に完了したことを確認します。

    データ・ソースの検証が成功したら、「次へ」をクリックします。

    データ・ソースの検証に失敗した場合は、「前へ」をクリックして問題を修正し、もう一度実行します。

  11. 「オプションの構成を選択」画面で、次を選択します。

    • 管理サーバー

    • 管理対象サーバー、クラスタ、およびマシン

    • デプロイメントとサービス

    「次へ」をクリックします。

  12. 「サーバーおよびクラスタ構成のカスタマイズ」画面で、「はい」を選択して「次へ」をクリックします。

  13. 「管理サーバーの構成」画面で、次の値を入力します。

    • 名前: AdminServer

    • リスニング・アドレス: OPAMHOST1.example.com

    • リスニング・ポート: 7001

      次のパラメータは設定または変更しないでください。

    • SSLリスニング・ポート: 適用なし

    • SSL有効または無効

    「次へ」をクリックします。

  14. 「管理対象サーバーの構成」画面で、トポロジのOPAMHOSTごとにエントリを作成しますが、つまり、OPAMHOST1上で実行されている OPAMサーバーに対して1つと、OPAMHOST2上で実行されているOPAMサーバーに対して1つ作成します。

    OPAM_SERVERエントリを選択し、そのエントリを次の値に変更します。

    • 名前: opamserver1

    • リスニング・アドレス: OPAMHOST1.example.com

    • リスニング・ポート: 18101

    • SSLポート: 18102

    2つ目のOPAM_SERVERでは、「追加」をクリックして、次の値を入力します。

    • 名前: opam_server2

    • リスニング・アドレス: OPAMHOST2.example.com

    • リスニング・ポート: 18101

    • SSLポート: 18102

    「次へ」をクリックします。

  15. 「クラスタの構成」画面で、「追加」をクリックしてクラスタを作成します。

    OPAM_Clusterなどのクラスタの名前を入力します。その他すべてのフィールドはデフォルト設定のままにします。

    「次へ」をクリックします。

  16. 「サーバーのクラスタへの割当」画面で、管理対象サーバーをクラスタに関連付けます。

    右のウィンドウで、クラスタ名「OPAM_Cluster」をクリックします。

    管理対象サーバー「opam_server1」をクリックしてから、矢印をクリックして、その管理対象サーバーをクラスタに割り当てます。

    管理サーバーopam_server2について、前述の手順を繰り返します。

    「次へ」をクリックします。

  17. 「マシンの構成」画面で、トポロジにある各ホストに対してマシンを作成します。

    ホストでUnixオペレーティング・システムを使用する場合は、「Unix」タブを、それ以外の場合は、「マシン」をクリックします。

    次の情報を指定します。

    • 名前: ホスト名です。ここでは、DNS名を使用することをお薦めします。

    • ノード・マネージャ・リスニング・アドレス: ここにマシンのDNS名を入力します。

    • ノード・マネージャ・ポート: ノード・マネージャが使用するポートを入力します。

    OPAMHOST2について前述の手順を繰り返し、次の値を入力します。

    • 名前: ホスト名です。DNS名OPAMHOST2を使用することをお薦めします。

    • ノード・マネージャ・リスニング・アドレス: マシンのDNS名(OPAMHOST.example.com)を入力します。

    • ノード・マネージャ・ポート: ノード・マネージャが使用するポートを入力します。

    「次へ」をクリックします。

  18. 「サーバーのマシンへの割当」画面で、作成したマシン上で実行する管理対象サーバーを割り当てます。次の手順を実行します。

    右側のウィンドウでマシンをクリックします。

    左側のウィンドウで、そのマシン上で実行する管理対象サーバーをクリックします。

    矢印をクリックし、その管理対象サーバーをそのマシンに割り当てます。

    すべての管理対象サーバーが適切なマシンに割り当てられるまで、この手順を繰り返します。

    例:

    • ホスト1: 管理サーバー、OPAMHOST1およびopam_server1

    • ホスト2: OPAMHOST2およびopam_server2

    「次へ」をクリックします。

  19. 「構成のサマリー」画面で、「作成」をクリックします。

12.5.4.1.1 データベース・セキュリティ・ストアの構成

ドメインの構成後、管理サーバーを起動する前に、データベース・セキュリティ・ストアを構成する必要があります。詳細は、第12.5.4.1.1項「データベース・セキュリティ・ストアの構成」を参照してください。

12.5.4.1.2 OPAMHOST1上での管理サーバーの起動

管理サーバーを起動するには、次の手順を実行します。

  1. DOMAIN_HOME/binディレクトリに移動します。startWeblogic.shを実行します。

  2. プロンプトで、WebLogic管理者のユーザー名とパスワードを入力します。


    注意:

    次の手順は、管理サーバーを最初に起動したときのみに実行します。


    注意:

    opam-config.shを実行する次の手順に進む前に、ORACLE_HOME、JAVA_HOMEおよびANT_HOME環境変数を設定する必要があります。ANT_HOMEでは、middleware_home/modules/org.apache.ant_1.7.1などのAntおよびJARバイナリ・ファイルが含まれている場所をポイントしている必要があります。

  3. 管理サーバーが起動したら、ORACLE_HOME/opam/binディレクトリに移動します。opam-config.shを実行します。

  4. プロンプトで、WebLogicのユーザー名、パスワード、URL、ドメイン名およびMiddlewareホームを入力します。

  5. opam-config.shの実行後、管理サーバーを再起動します。

12.5.4.2 OPAMHOST1の起動

この項では、OPAMHOST1の起動手順について説明します。

  1. コンソールから管理対象サーバーを起動する前に、ノード・マネージャのプロパティ・ファイルを作成しておく必要があります。MW_HOME/oracle_common/common/binディレクトリにあるsetNMProps.shスクリプトを実行します。

    MW_HOME/oracle_common/common/bin/setNMProps.sh

  2. コマンドMW_HOME/wlserver_10.3/server/bin/startNodeManager.shを使用して、ノード・マネージャを起動します。

12.5.4.2.1 OPAMHOST1でのOracle Privileged Account Managerの起動

OPAMHOST1上のOracle Privileged Account Managerを起動する手順は、次のとおりです。

  1. 次のURLを使用して、WebLogic管理コンソールにログインします。

    http://opamhost1.example.com:7001/console

  2. WebLogic管理者のユーザー名とパスワードを入力します。

  3. 「ドメイン構造」メニューから「環境」→「サーバー」を選択します。

  4. 「制御」タブをクリックします。

  5. サーバー「opam_server1」をクリックします。

  6. 「起動」をクリックします。

  7. 「OK」をクリックします。

12.5.4.3 OPAMHOST2でのOPAMの構成

OPAMHOST1で構成を完了したら、それをOPAMHOST2に伝播できます。これを実行するには、OPAMHOST1でpackスクリプトを使用してドメインをパックし、OPAMHOST2でunpackスクリプトを使用してドメインを解凍します。

どちらのスクリプトも、MW_HOME/oracle_common/common/binディレクトリにあります。

  1. MW_HOMEおよびORACLE_HOMEディレクトリ構造がOPAMHOST1ディレクトリ構造と同じであることを確認します。

  2. OPAMHOST1で次のように入力して、/tmpディレクトリにファイルidm_domain.jarを作成します。

    pack.sh -domain=$MW_HOME/user_projects/domains/IDM_Domain

     -template=/tmp/idm_domain.jar -template_name="OPAM Domain" -managed=true

    3. 

  3. 

    前の手順で、idm_domain.jarファイルが/tmpディレクトリに作成されています。
    

    このidm_domain.jarファイルを、OPAMHOST1からOPAMHOST2上の一時ディレクトリにコピーします。
    

    4. 

  4. 

    idm_domain.jarをOPAMHOST2にコピーするには、次のように入力します。
    

    unpack.sh -domain=MW_HOME/user_projects/domains/IDM_Domain 
-template=/tmp/idm_domain.jar

    5. 

  5. 

    jps-wls-trustprovider.jarを、MW_HOME/oracle_common/modules/oracle.jps_11.1.1からWLS_SERVER_HOME/server/lib/mbeantypesにコピーします。
    

    6. 









12.5.4.4 OPAMHOST2の起動


この項では、OPAMHOST2の起動手順について説明します。


    

  1. 

    コンソールから管理対象サーバーを起動する前に、ノード・マネージャのプロパティ・ファイルを作成しておく必要があります。ディレクトリMW_HOME/oracle_common/common/binにあるスクリプトsetNMProps.shを実行します。
    

    2. 

  2. 

    コマンドMW_HOME/wlserver_10.3/server/bin/startNodeManager.shを使用して、ノード・マネージャを起動します。
    

    3. 

  3. 

    OPAMHOST2でOracle Privileged Account Managerを起動します。第12.5.4.2.1項「OPAMHOST1でのOracle Privileged Account Managerの起動」を参照して、HOST1とserver1をHOST2とserver2に置き換えます。
    

    4. 











12.5.5 OHSロード・バランサの構成


Oracle HTTP Server (OHS)を使用してOPAMサーバーをロード・バランシングできます。この項では、OHSと連携するようにOPAMを構成する手順について説明します。内容は次のとおりです。






12.5.5.1 SSLの構成


OPAMサーバーでは通信にSSLを使用するため、OHSロード・バランサでSSLオプションを構成する必要があります。次の手順を実行します。


    

  1. 

    OPAMの管理対象サーバーおよび管理サーバーと通信できるように、OHSからのアウトバウンドSSL接続を有効化します。これを行うには、『Oracle Fusion Middleware管理者ガイド』のOracle HTTP Serverからのアウトバウンド・リクエストでのSSLの有効化に関する説明を参照してください。
    

    2. 

  2. 

    OPAMの管理対象サーバーおよび管理サーバーへのインバウンドSSL接続を有効化します。『Oracle Fusion Middleware管理者ガイド』のOracle WebLogic ServerへのインバンドSSLに関する説明を参照してください。
    

    3. 









12.5.5.2 Oracle HTTP Server構成の更新


OHSがインストールされているホストで、opam.confという名前のファイルを次のディレクトリに作成します。


ORACLE_INSTANCE/config/OHS/ohs1/moduleconf



次の行を指定してファイルを作成します。


NameVirtualHost *:4443
<VirtualHost *:44443>

  ServerName http://opam.example.com:4443
  ServerAdmin user@example.com
  RewriteEngine On
  RewriteOptions inherit

   <Location /opam>
    SetHandler weblogic-handler
    WebLogicCluster opamhost1.example.com:18102,opamhost2.example.com:18102
    WLCookieName OPAMSESSIONID
    WlSSLWallet "${ORACLE_INSTANCE}/config/${COMPONENT_TYPE}/${COMPONENT_
    NAME}/keystores/ohs_wallet"
    WLProxySSL ON
    WLProxySSLPassThrough ON
    SecureProxy On
  </Location>

</VirtualHost>



OPAMコンソールでOHSを構成するには、opam.confファイルを次の行で更新します。


NameVirtualHost *:7777
<VirtualHost *:7777>

  ServerName http://opam.example.com:7777
  ServerAdmin user@example.com
  RewriteEngine On
  RewriteOptions inherit

   <Location /oinav>
    SetHandler weblogic-handler
    WebLogicCluster opamhost1.example.com:18101,opamhost2.example.com:18101
    WLCookieName OPAMSESSIONID
   </Location>  

</VirtualHost>







12.5.5.3 Oracle HTTP Serverの再起動


Oracle HTTP Serverを再起動するには、ORACLE_INSTANCE/binから次のコマンドを実行します。


opmnctl stopall
opmnctl startall





























 
前
 前 		
次
 次		











 
目次へ移動
 目次